考虑使用AntiXss.HtmlEncode方法来防止跨站点脚本攻击

　　似乎要解释清楚AntiXss.HtmlEncode和HttpUtility.HtmlEncode及Server.HtmlEncode之间具体的区别有点困难，但是它们基本都可以用来防止站点受到恶意脚本注入的攻击。按照MSDN的解释，HtmlEncode只能用来将'<'，'>'，'&'以及'"'进行转义，另外也包括编码大于0x80的ASCII码，不过这要视服务器的环境而定，不同版本的IIS转义的情况不同。例如将站点发布到IIS6和发布到IIS7上会有区别，另外如果你只是在VS上调试Web应用程序，HtmlEncode的转义情况也不同。

　　至于什么是跨站点脚本攻击以及为什么要防止跨站点脚本攻击？大家可以参考《博客园》的这篇文章http://www.cnblogs.com/alilang/archive/2013/01/28/2879589.html

　　有关AntiXss.dll的介绍，可以参考MSDN的这篇文章http://msdn.microsoft.com/en-us/library/aa973813.aspx

　　考虑下面这个场景：

<br />
<img id='img<%=Server.HtmlEncode(Request.QueryString["userId"])%>' src='/image.gif' /><br />
<br />
An attacker could inject client-side script here by setting userId to:' οnlοad=alert('xss') alt='<br />

　　某些特定的环境下上面的HTML代码会存在注入脚本攻击的风险。例如用户在请求页面的URL后面传递这样的参数：?userId=' οnlοad=alert(xss) alt'

　　则页面会成功执行所注入的脚本！原因可能在于Server.HtmlEncode并不能有效过滤掉用户输入中的恶意字符，同样的情况也可能会出现在HttpUtility.HtmlEncode中。当出现这种情况的时候，考虑将其替换成AntiXss.HtmlEncode方法。

 

转载于:https://www.cnblogs.com/jaxu/archive/2013/03/16/2962449.html