默认情况下，ASP.NET MVC 4 是否需要额外的 XSS 处理答案

【问题标题】：Does ASP.NET MVC 4 require extra XSS handling by default默认情况下，ASP.NET MVC 4 是否需要额外的 XSS 处理
【发布时间】：2012-10-02 14:11:53
【问题描述】：

默认情况下，ASP.NET MVC 4 会忽略发布消息中的 HTML 输入。如果我没有明确接受 HTML，是否需要编写任何代码来保护我的网站免受 XSS 攻击？我不会使用[AllowHtml] 或[ValidateInput(false)]。我只是想知道我是否应该担心 XSS 攻击。我使用 Razor 作为我的视图引擎。

【问题讨论】：

这里问了一个类似的问题：stackoverflow.com/questions/3955658/…
这里提到了 ASPX 语法。我正在使用剃须刀。另外，我使用的是最新版本的 MVC。

标签： asp.net-mvc razor xss

【解决方案1】：

我发现 Amir Ismail 的一篇出色的博客文章解决了您的所有问题。 http://miroprocessordev.blogspot.com/2012/03/save-aspnet-mvc-application-against.html

总结他写的东西。除非使用 Html.Raw，否则 Razor 是默认编码的。 Html.AntiForgeryToken() 可用于创建一个随机令牌以防止 CSRF，但它要求用户接受 cookie。

【讨论】：

提供的链接已损坏！