問題タブ [html-encode]

C# SSIS スクリプト タスクで URL を URL エンコードしたいと考えています。System.Web.HttpServerUtility を使用してみましたが、インテリセンスは「サーバー」を認識していないようです。エラーが発生するコードの例を次に示します。

文字列内の文字を検索して置換し、文字列をエンコードする HTML を模倣する関数を作成することで、この問題を回避しましたが、正直なところ、この解決策は嫌いです。HTML Encoder ホイールを再発明するのではなく、.NET に焼き付けられたものを使用するために別の方法で必要なものを見つけたいだけです。

クロス サイト スクリプティングを回避するために AntiXss ライブラリを提案する回答を含む質問に出くわしました。msdn blogを読んで興味深いことに、HtmlEncode() メソッドを提供するだけのようです。しかし、私はすでに HttpUtility.HtmlEncode() を使用しています。

HttpUtility.HtmlEncode ではなく AntiXss.HtmlEncode を使用する必要があるのはなぜですか?

実際、この質問をしたのは私が初めてではありません。実際、Google は主にいくつかの 回答を提示しています。

• ブラックリスト方式ではなくホワイトリスト方式
• 0.1ms のパフォーマンス向上

それはいいことですが、それは私にとって何を意味するのでしょうか。私は 0.1 ミリ秒のパフォーマンスについてはあまり気にしません。また、既に持っている機能の別のライブラリ依存関係をダウンロードして追加する気もありません。

HttpUtility 実装では防げない攻撃を AntiXss 実装で防げる例はありますか?

HttpUtility 実装を使い続けると危険にさらされますか? この「バグ」はどうですか？

私のソーシャルネットワーキングサイトはw3cxhtmlで有効ですが、ユーザーはブログのレポートなどを投稿したり、アンパサンド文字を入力したりして、検証を台無しにすることがあります。どうすればこれを修正できますか？検証を台無しにする可能性のある他の単一の文字に注意する必要がありますか？

これは、スパークの部分ビューの一部です (TaskSearch と呼ばれます)。

コードを使用して非スパークビューによって生成されます。

Spark は、以下を含むビュー クラスを生成します。

HTMLを作成する代わりに、HTMLエンコードされたHTMLコードを作成するため、ドロップダウンリストの代わりに出力ページにHTMLタグが表示されます。おそらく何かが欠けていますが、生成されたビューで H() の使用を無効にするにはどうすればよいですか?

私が使用する場合

すべて正常に動作します。

inApp メール送信機能を備えた iPhone 用のアプリケーションを開発しています。これまでのところは問題ありませんが、メールの一部はユーザーが生成したテキストであるため、html インジェクションは避けたいと考えています。

基本的には、次のようなものを検索します。

予想される出力
source string: Hello world! Grüße dich Welt <-- This is in German.
encoded string: Hello world! Gr&#252;&#223;e dich Welt &lt;-- This is in German.

私はすでにグーグルで検索し、SOの質問と回答のいくつかを調べましたが、それらはすべてURLエンコーディングに関連しているようで、それは私が本当に必要としているものではありません(私はstringByAddingPercentEscapesUsingEncoding運が悪かった-%C3%BCを作成します'ü' は ü でなければなりません)。

コードサンプルは本当に素晴らしいでしょう（私のものを修正しますか？）...

--
前もってありがとう、
マーカス

だから私はフォームの検証、入力、エラーメッセージなどを設定しています...そして、収集している多くの情報をある時点で再度出力する必要があることに気付きました。

したがって、入力を次のようにラップしました。

XSS タイプの攻撃を確実に回避するには、他に何をすべきですか? ページにデータを書き込むときに何かをする必要がありますか?

2000 年に作成され、現在も維持されているサイトに多数の html ファイルがあります。最近、不正な文字を HTML エンティティに置き換える取り組みを開始しました。著作権記号や商標タグを探してページを移動するのは、かなりの雑用のように思えます。大量の html ファイルを取り、違法な文字を html エンティティに置き換える必要がある場所を教えてくれるアプリを知っている人はいますか?

どうやら、これは私が思っていたよりも見つけるのが難しいようです。そして、それはとてもシンプルです...

JavaScript に組み込まれているPHP のhtmlspecialcharsに相当する関数はありますか? 自分で実装するのはかなり簡単ですが、組み込み関数を使用できる場合は、それを使用する方が簡単です。

PHP に慣れていない人のために説明すると、htmlspecialchars は次のようなものを次のように変換<htmltag/>します。<htmltag/>

私はそれを知ってescape()おり、encodeURI()このようには機能しません。

フランス語と英語の単語を含む製品名のあるWebサイトがあります。製品名を保存するときは、SQLServerのProductNameフィールドにエンコードされたhtmlとして保存します。たとえば、Châteauという単語は私のデータベースにCh＆＃226;teauとして保存されています。

誰かが製品名を検索したい場合は、検索語をhtmlencodeします。これにより、検索語Châteauに一致するものが正常に返されますが、誰かがChateauと入力した場合（ほとんどの英語ユーザーが入力します）、LIKEステートメントから結果が返されません。シャトーはシャトーと一致しないため、これは正しいです。

私ができるようにしたいのは、誰かが「Chateau」と入力するだけで、Châteauという単語のようなものを検索できるようにすることです。

私がこれについてどうやって行くことができるかについて何か考えはありますか？asp.net C＃3.5SP1とSQLServer05を使用しています。

ペルシャ語のページのコンテンツを取得し、そのページの一部を一部のユーザーに表示する必要があります。問題は、ページ コンテンツをフィルタリングした後、適切なエンコーディングでコンテンツを表示できないことです。Web ページは sena.ir にあります。表示したい元の Web ページ部分のスクリーン ショットを次に示します。

代替テキスト http://img502.imageshack.us/img502/983/original.gif

そして、ここに私が得たものがあります：

代替テキスト http://www.freeimagehosting.net/uploads/812cebe6b3.gif

ページのコンテンツを取得するために使用する関数は次のとおりです。