Microsoft Web Protection Libraryは、ASP.NET 4.0 WebフォームのXSSをエンコードしません。gridview

Question

いくつかのgridviewを使用するASP.NET 4.0 Webフォームアプリケーションがあります。私はクロスサイトスクリプティングの問題から保護するために、グリッドビュー内のデータを正しくエンコードするためにMS Web Protection Libraryを取得しようとしています。

私はNuGet経由WPLライブラリのV4.2.1を追加しましたし、私のWeb.configファイルに以下を追加しました：

<httpRuntime encoderType="Microsoft.Security.Application.AntiXssEncoder, AntiXssLibrary" executionTimeout="240" maxRequestLength="20480" requestValidationMode="2.0" /> 

残念ながら、これは動作するようには思えません。文字列<b>hi there</b>は、データベースからグリッドビューに出力されたときに正しくコーディングされません。

これまで、AntiXssModule.dllという名前のDLLを使用してこれを行ってきましたが、今はこれを参照することができず、すべてがWPLを指しているようです。

私は何かが分かりませんでしたか？

Answer 1

この返信が遅すぎる1年になるが、ここでは、私は同様の問題持ったときに見つけたものである可能性があります requestValidationModeの組み合わせ= 2.0とencoderType = AntiXssLibrary動作しません、私は4.0にrequestValidationModeの値を変更する必要がありました。しかし、これは他の問題を引き起こす可能性があります。

/simon/