使用 Markdown 处理代码块（Pagedown）

Question

我打赌我在这里使用了不正确的东西......

我的 MVC3 应用程序使用 Pagedown 来提供 JavaScript 文本编辑器、降价转换器和实时预览。我使用它的“santizer”对象来去除潜在危险的代码，就像指令中所建议的那样——你可以在demo 中看到它的工作原理。

javascript 代码如下所示：

(function () {
    var converter1 = Markdown.getSanitizingConverter();
    var editor1 = new Markdown.Editor(converter1);
    editor1.run();
})();

此代码将标记的textarea 标记转换为编辑器，并使用消毒转换器去除不良内容。在某些方面，它似乎在起作用。示例：

• marquee 演示中的标签被正确剥离。
• <p style="font-size:40em;">Super Big Text</p> 被剥离为 Super Big Text

但有些事情是不正确的......当我像这样插入一个假的javascript时：

TEXT `<script type="text/javascript">alert("gotcha!");</script>` MORE TEXT

并发布表单，它会以黄色的死屏轰炸：

Request Validation has detected a potentially dangerous client input value, and processing of the request has been aborted.

这个字符串是否还没有像&lgt;script...等那样安全编码？

问题：我缺少什么来确保正确转换代码块和内联代码以便将它们作为安全字符串发布到服务器？

Answer 1

为了确保正确转换代码块和内联代码以便将它们作为安全字符串发布到服务器，我缺少什么？

什么都没有。或者至少可能什么都没有，假设您正在创建具有正确输出转义的文本区域，如果使用 Web 表单或 MVC 控件，您将是这样。

YSOD 出现在任何和所有看起来像元素标记的输入内容中，无论您的应用程序是否正确处理输出转义或易受攻击。这并不表示 XSS 问题，它一直在发生。

如果您想允许包含看起来像元素标记的数据的用户输入（这并没有本质上的危险 - 您只需正确转义输出），请关闭请求验证。作为真正的安全功能，它完全是伪造的，只会给您一种虚假的安全感；令人失望的是，微软正在推动它，因为它暴露了对 HTML 注入是什么的致命误解。

不幸的是，在 ASP.NET 4 下禁用它会变得更加烦人。您必须使用 <httpRuntime requestValidationMode="2.0" /> 重置旧模型，然后将 ValidateRequest="false" 添加到页面。