HTML.Encode（） - ASP .NETのスクリプティングセキュリティ上の問題を防止するにはどうすればよいですか？

Question

私はユーザー入力、特にスクリプトの問題を扱っているとき、HTML.Encode（）が私に何を提供していますか？

Answer 1

Server.HTMLEncodeを参照してください。

HTMLEncodeメソッドは、指定された文字列にHTML エンコーディングを適用します。この は、Webアプリケーション で使用する前に、フォームデータと他のクライアント のデータを要求するための簡単な方法として便利です。データを符号化する は、潜在的に危険な文字 を、HTMLでエンコードされた同等のものに変換します。

符号化する文字列が DBCSでない場合は次のように、HTMLEncode文字 を変換：

• をより少なくより文字（<）<に変換されます。
• 大なり文字（>）は>に変換されます。
• アンパサンド文字（&）は&に変換されます。
• 二重引用符（ "）は"に変換される。そのコード
• 任意のASCIIコード文字が0x80の が はASCII文字値で&#<number>、に変換されるよりも、大きいか等しい。

これは、リクエストストリームにデータをダンプし、そのデータがユーザが入力したフィールドからデータベースに保存されると、ユーザがファーストネームが

であると言うことができなくなることを意味します。 この例では

<script type="text/javascript"> 
    function doSomethingEvil() { /* ... */ } 
</script> 

、Server.HTMLEncodeは<、>を符号化するだろう、と。このままに"文字：

<スクリプトタイプ：ブラウザでレンダリングすると、

<script type="text/javascript"> 
    function doSomethingEvil() { /* ... */ } 
</script> 

は次のようになります。 = "テキスト/ javascript " > function doSomethingEvil（）{/ * ... * /} 0実際に実行されるのではなく、/スクリプト>

です。

Answer 2

それはが攻撃

のこのタイプを実行するために使用することができるスクリプトに変身するユーザー入力できない場合ので、それは、XSS（クロスサイトスクリプティング）攻撃を防ぎます