我在一个页面中有很多 TextBox。
我想知道是否有办法以编程方式检查此 TextBox 的所有输入和
将Server.HtmlEncode 应用于每个人。
所以我不需要为每个字符串都应用 Server.HtmlEncode。
谢谢！
【问题讨论】：
您需要为此创建一个实用程序方法。大概是这样的：
如果不存在嵌套文本控件，则为简单版本：
public Dictionary<string, string> ReturnsAllTextEnteredOnPage()
{
Dictionary<string, string> allTextEnteredOnPage = new Dictionary<string, string>();
foreach (var control in Page.Controls)
{
if (control is TextBox)
{
TextBox ctrl = (TextBox)control;
allTextEnteredOnPage.Add(ctrl.ID, Server.HtmlEncode(ctrl.Text));
}
}
return allTextEnteredOnPage;
}
考虑页面上所有文本框的有点复杂的版本：
public Dictionary<string, string> ReturnsAllTextEnteredOnPage()
{
Dictionary<string, string> allTextEnteredOnPage = new Dictionary<string, string>();
var allControls = FlattenChildren(Page);
var allTextControls = allControls.OfType<TextBox>();
foreach(var textCtrl in allTextControls)
{
allTextEnteredOnPage.Add(textCtrl.ID, Server.HtmlEncode(textCtrl.Text));
}
return allTextEnteredOnPage;
}
上面的方法使用了一个叫FlattenChildren的方法，可以取自here。
其次，我没有使用编辑器来输入该代码..
【讨论】：
一种方法是继承TextBox 控件并覆盖Text 属性以简单地返回一个HTML 编码的字符串。然后，您可以在需要对字符串进行 HTML 编码的项目中使用该控件。
或者，您可以为所有 TextBox 对象声明一个扩展方法，该方法将返回字符串的 HTML 编码版本，您可以在整个项目中简单地调用该扩展方法，而不是引用 .Text 属性：
编辑：添加扩展方法帮助代码示例
class TextBoxHelper{ public static string GetHtmlEncodedString(this System.Web.UI.WebControls.TextBox textbox){ return Server.HtmlEncode(textbox.Text); } }
【讨论】：
对输入进行编码是否有特殊原因？
通常您会对输出进行 Html 编码，即在显示数据时。
编辑：
如果您想强化您的应用以抵御 XSS 和 SQL 注入攻击，您可能需要查看 Microsoft Web Protection Library。
【讨论】：
这里的问题是，如果您更改控件的值，则可能会导致用户混淆（即，这不是我输入的内容）。因此，您可以做的是创建一个经过清理的输入集合并在您的应用程序中使用它，如下所示：
protected void Page_Load(object sender, EventArgs e)
{
Dictionary<string, string> values = new Dictionary<string, string>();
if (this.IsPostBack)
{
foreach (var control in this.Controls)
{
TextBox textbox = control as TextBox;
if (textbox != null)
{
values.Add(textbox.ID, Server.HtmlEncode(textbox.Text));
}
}
}
}
上面的值将包含经过处理的输入。我还建议在这种情况下查看Anti-XSS library 以获得额外的保护。
【讨论】：