星途面试题库

面试题：C#中如何有效防护跨站脚本攻击（XSS）

假设你正在开发一个C#的Web应用程序，用户输入的数据会在页面上显示。请详细说明如何在C#的MVC或Web Forms框架下，通过输入验证、输出编码等手段有效防护跨站脚本攻击（XSS），并解释每种防护措施的原理。

19.2万热度

难度

编程语言C#

知识考点

AI 面试

面试题答案

在C#的MVC框架下防护XSS攻击

输入验证：
- 做法：使用数据注解（DataAnnotations）。例如，对于一个接收用户输入的模型类，可以在属性上添加验证规则。假设我们有一个用户注册模型UserRegistrationModel：

public class UserRegistrationModel
{
    [Required]
    [StringLength(50, ErrorMessage = "Name length can't exceed 50 characters.")]
    public string Name { get; set; }
}

原理：数据注解在模型绑定阶段起作用，它验证输入数据是否符合指定的规则，比如长度限制、数据类型等。不符合规则的数据将不会被绑定到模型，从而防止恶意的长字符串或特殊字符（可能用于XSS攻击）进入系统。

输出编码：
- 做法：在视图中，使用Html.Encode方法对输出数据进行编码。例如，如果要显示用户输入的姓名：

@model UserRegistrationModel
@{
    Layout = null;
}
<!DOCTYPE html>
<html>

<head>
    <meta name="viewport" content="width=device-width" />
    <title>Index</title>
</head>

<body>
    <div>
        @Html.Encode(Model.Name)
    </div>
</body>

</html>

原理：Html.Encode方法将特殊字符（如<，>，&等）转换为HTML实体（如<，>，&）。这样，即使攻击者输入了恶意的HTML或JavaScript代码，浏览器也会将其作为普通文本显示，而不会将其解析为可执行的代码，从而防止XSS攻击。

在C#的Web Forms框架下防护XSS攻击

输入验证：
- 做法：使用验证控件，如RequiredFieldValidator、RegularExpressionValidator等。例如，在一个用户登录页面中：

<asp:TextBox ID="txtUserName" runat="server"></asp:TextBox>
<asp:RequiredFieldValidator ID="rfvUserName" runat="server" ControlToValidate="txtUserName" ErrorMessage="User name is required"></asp:RequiredFieldValidator>

原理：这些验证控件在客户端和服务器端都执行验证。客户端验证可以快速反馈给用户输入是否合法，减少不必要的服务器请求。服务器端验证则确保数据在进入业务逻辑之前是符合规则的，防止恶意输入绕过客户端验证。

输出编码：
- 做法：在代码后台设置Label等控件的Text属性时，使用HttpUtility.HtmlEncode方法。例如：

protected void Page_Load(object sender, EventArgs e)
{
    string userInput = "输入内容";
    lblOutput.Text = System.Web.HttpUtility.HtmlEncode(userInput);
}

原理：HttpUtility.HtmlEncode与MVC中的Html.Encode原理相同，将特殊字符转换为HTML实体，使浏览器将其作为文本处理，避免恶意代码被执行，达到防护XSS攻击的目的。