在 ASP.NET 上构建维基百科（学习练习）。如何清理不受信任的数据，但保持格式化？

Question

我想让最终用户能够将 HTML 保存到我的后端商店。由于此功能很容易导致 SQL 注入和许多其他问题，有没有人知道服务器端库会清理输入以便只能使用 HTML 的“安全”部分？

我想避免的一些事情：

• 对象标签使用
• JavaScript 使用
• Windows“风格”弹出框（例如您的 PC 感染了病毒）
• 带有 Javascript 操作的 CSS
• 来自外部网站的内嵌数据

由于 100% 保证我没有想出所有可能让用户对此功能产生恶意的方法，我想了解我必须使用哪些选项来清理数据，但保留基本格式

Answer 1

考虑使用 Microsoft AntiXSS 库清理用户输入。

• http://wpl.codeplex.com/
• http://msdn.microsoft.com/en-us/security/aa973814.aspx