如何通过 Web API 使用 AntiXss

Question

这是一个以前被问过的问题，但我没有找到我正在寻找的信息，或者我只是错过了重点，所以请多多包涵。如果我问错了问题，我总是可以调整我的问题。

例如，如果我有一个 POST 端点，它使用具有 2 个属性（即 companyRequestDto）的简单 DTO 对象，并在其属性之一中包含一个脚本标记。当我从Postman 调用我的端点时，我使用以下内容：

{
   "company": "My Company<script>alert(1);</script>",
   "description": "This is a description"
}

当我的端点中的操作收到它时，

public void Post(CompanyRequestDto companyRequestDto)

我的 DTO 对象将自动设置，其属性将设置为：

companyDto.Company = "My Brand<script>alert(1);</script>";
companyDto.Description = "This is a description";

我显然不希望这些信息按原样存储在我们的数据库中，也不希望它存储为如上所示的转义字符串。

1) 请求：所以我的第一个问题是，如果发布的 DTO 包含一些无效内容，例如标签，我该如何抛出错误？

我查看了 Microsoft AntiXss，但我不明白如何处理这个问题，因为 DTO 对象的属性中提供的数据不是 html 字符串，而只是一个字符串，所以我在这里缺少什么'不明白这如何帮助清理或验证传递的数据。

当我打电话时

var test = AntiXss.AntiXssEncoder.HtmlEncode(companyRequestDto.Company, true);

它返回一个编码字符串，然后呢？？

有没有办法删除不允许使用的关键字或只是简单地抛出一个错误？

2) 响应： 假设 1) 没有实现或无法正常工作，并且最终存储在我们的数据库中，我想将编码数据作为 json 字符串返回，所以改为返回：

"My company"

我想回来吗：

"My Company<script>alert(1)</script>"

浏览器（或任何应用程序）是否应该显示如下？：

"My Company<script>alert(1)</script>"

3) 代码： 假设有一种清理或抛出错误的方法，我应该在属性级别使用我的各种 DTO 对象的所有属性的属性，还是有办法例如，使用将验证和/或清理 DTO 对象的所有字符串属性的属性在类级别应用此功能？

我找到了有趣的文章，但没有一个真正回答我的问题，或者我对某些答案有其他问题：

• asp.net mvc What is the difference between AntiXss.HtmlEncode and HttpUtility.HtmlEncode?

• Stopping XSS when using WebAPI（目前正在研究这个，但看不到示例如何解决问题，因为无论我是否使用脚本标签，属性总是失败）

• how to sanitize input data in web api using anti xss attack（也在看这个，但在我的工作项目中调用ReadFromStreamAsync 时遇到问题。可能与我的 web.config 中的一些设置有关，但还没有弄清楚原因它似乎总是返回一个空字符串）

谢谢。

更新 1：

我刚刚看完了Stopping XSS when using WebAPI的答案

这可能是最接近我正在寻找的东西。除了我不想对数据进行编码，因为我不想将它存储在我的数据库中，所以我会看看我是否能弄清楚如何抛出错误，但我不确定条件会是什么.也许我应该只寻找诸如 、; 之类的字符。等...因为这些不太可能在我们的任何领域中使用。

Answer 1

1. 在考虑编码时，您需要考虑数据将在哪里使用，因此只有在呈现为 HTML 时才会出现问题任何地方的用户，很可能在您要显示它的时候，您希望对其进行 html 编码以进行显示（例如，您希望避免在保存相同的字符串时重复 html 编码）。

2. 同样，这取决于响应将用于什么...您可能希望在将要显示的位置对其进行 html 编码...请记住，如果您在响应中编码某些内容可能与数据中的内容不匹配，因此如果调用代码可以执行诸如调用您的 API 以搜索具有该名称的公司，这可能会导致问题。如果浏览器确实显示了 html 编码的版本，它可能看起来很难看，但总比用户受到 XSS 攻击要好。

3. 如果您允许大多数字符正常使用，则很难为诸如标签之类的内容清理文本。如果您可以将允许的字符列入白名单并且只允许使用字母数字等字符会更容易，但这通常是不可能的。这可以使用 DTO 对象上的正则表达式验证属性来完成。如果您无法停止某些字符，我认为最好的方法是对显示值进行编码。尝试允许所有字符确实很难，但要避免人们可以开始使用 ascii 字符等。