asp.net - ユーザー入力の適切な処理

Question

だから私はフォームの検証、入力、エラーメッセージなどを設定しています...そして、収集している多くの情報をある時点で再度出力する必要があることに気付きました。

したがって、入力を次のようにラップしました。

Server.HtmlEncode(txtbox.text);

XSS タイプの攻撃を確実に回避するには、他に何をすべきですか? ページにデータを書き込むときに何かをする必要がありますか?

score 1 · Accepted Answer

データを収集するときではなく、ページにデータを出力するときに HtmlEncode することをお勧めします。Stack Overflow ポッドキャスト #58から:

データベースに保存されているデータを HTML エンコードしないでください。Damien Guardと Joel Spolskyのアドバイスを参考にしてください! 両方の表現を保存することを選択できますが、HTML だけを保存することはできません。最高レベルの精度で生データを使用します。

リンク

score 1 · Accepted Answer

セキュリティの観点から、私たちの Web フォームはネイキッドであり、100% 脆弱です。データがそれらに渡されるすべての方法を調べ、必要に応じてテストする必要があります。

* Form Fields
* URL Query Strings
* Cookies
* Database
* ViewState

セキュリティで保護された Web アプリケーションの MSDN 設計ガイドライン: http://msdn.microsoft.com/en-us/library/aa302420.aspx

Microsoft アンチクロスサイトスクリプティングライブラリ: http://msdn.microsoft.com/en-us/security/aa973814.aspx

2 に答える 2