如果我的 aspx 页面不允许来自用户的 html 输入，html 编码如何提供帮助

How html encoding helps if my aspx page is not allowing html input from User

本文关键字：html 输入编码帮助何提供用户 aspx 我的不允许如果更新时间：2023-09-26

我的aspx页面中有XSS跨站点脚本问题。当我浏览解决方案时，我发现 70% 的 XSS 问题将由 HTML 编码用户输入并保存在数据库中来处理。

我的场景：大多数页面不允许html输入，即ValidateRequest="True"。在这种情况下，HTML编码将如何帮助我们？如果我说我们应该只在允许用户输入 html 的情况下进行 html 编码，我是否正确？

假设，用户输入的 html 编码适用于 XSS，对所有用户输入（整个应用程序）进行 html 编码并保存在数据库中是一个好主意吗？

谢谢。

我不建议将编码的html保存在数据库中。现在我使用的方法不对用户的输入进行编码。取而代之的是，我们将在从数据库中读取时对用户的输入进行编码。你可以了解 json 的 api，其中可以告诉你如何编码特殊代码。