防止Javascript注入(但保留文本格式和图像）

Javascript Injection Prevention (but keep text formatting and images)

本文关键字：格式 图像 文本 保留 Javascript 注入 防止      更新时间：2024-05-30

详细信息：所有处理都将在服务器端进行。

我希望我的用户能够发布HTML标签，但我正在寻找一种方法来限制可以使用的标签和效果是否有任何现有的在线解决方案（我不想编码我的用户内容。

是：

  1. 文本+格式
  2. 链接
  3. 列表
  4. 图像

否：

  1. CSS：按引用、按标记或内联
  2. JS：通过引用、通过标记或内联
  3. IFrames
  4. 对象

有什么想法吗？

您可以使用HtmlAgilityPack将用户的输入解析为HTML，并轻松检测和删除不需要的标记。

http://htmlagilitypack.codeplex.com/

当我在客户端进行消毒时，我倾向于使用sance.js-我相信它具有您想要的所有功能，并且具有更多

https://github.com/gbirke/Sanitize.js/

相关文章：