Vệ sinh HTML trước khi lưu trữ trong DB hoặc trước khi hiển thị? (Thư viện AntiXSS trong ASP.NET)

Question

Tôi có một trình soạn thảo cho phép người dùng thêm HTML được lưu trữ trong cơ sở dữ liệu và được hiển thị trên trang web. Vì đây là đầu vào không tin cậy, tôi dự định sử dụng Microsoft.Security.Application.AntiXsSS.GetSafeHtmlFragment để khử trùng HTML.

• Tôi có nên santiize trước khi lưu vào cơ sở dữ liệu hoặc trước khi hiển thị đầu vào không đáng tin cậy vào trang web không?
• Có lợi thế nào trong việc bao gồm mã nguồn AntiXSS trong dự án của tôi thay vì chỉ là DLL không? (Có lẽ tôi có thể tùy chỉnh các danh sách trắng?)
• Những tập tin lớp tôi nên nhìn vào thực hiện thực tế của GetSafeHtmlFragment

Answer 1

Tôi không đồng ý với câu trả lời được lựa chọn vì hai lý do

1. Nếu bạn lưu trữ dữ liệu được mã hóa, bạn phải chọn một bộ mã hóa trước khi bạn lưu trữ. Điều gì sẽ xảy ra nếu bạn đã lưu trữ một thứ gì đó dưới dạng HTML nhưng cũng muốn đẩy nó ra ở định dạng khác, ví dụ như một phản hồi JSON, hoặc như là một phần của một tài liệu XML? Bây giờ bạn có một định dạng mã hóa HTML, bạn phải giải mã, sau đó mã hóa theo định dạng đúng.
2. Điều gì sẽ xảy ra nếu chúng tôi phát hiện lỗi trong bộ mã hóa và đẩy phiên bản mới ra? Bây giờ, bởi vì bạn không mã hóa tại điểm đầu ra, tất cả dữ liệu cũ của bạn có thể chứa những thứ đã được mã hóa không chính xác. Bạn có thể mã hóa lại, nhưng sau đó bạn nhấn các vấn đề mã hóa kép có thể gây đau đớn để lọc chính xác.

Nói chung, bạn mã hóa tại điểm đầu ra và xử lý bất kỳ dữ liệu nào đến từ kho dữ liệu không tin cậy theo mặc định - sau khi tất cả, điều gì sẽ xảy ra nếu ai đó quản lý cơ sở dữ liệu của bạn trực tiếp hoặc thông qua SQL injection?

Answer 2

• các Cả
• Chỉ khi bạn có kế hoạch thay đổi nó, mà tôi sẽ không làm cá nhân
• lớp AntiXss (kể từ khi nó được gọi như AntiXss.GetSafeHtmlFragment())

Answer 3

Bạn có thể sử dụng trong chỉ thị trang thông số ValidateRequest = "true". Bằng cách này, tất cả dữ liệu Yêu cầu được xác thực và nếu có vấn đề xác thực bạn luôn có thể bắt lỗi. Nó cũng ngăn chặn các chủ đề tiêm sql và những người khác không chỉ có thể XSS.

Với dữ liệu số, bạn có thể xác nhận số nguyên tràn hoặc lạm dụng các loại dữ liệu với Int32.TryParse() hoặc bất kỳ khác của gia đình TryParse (Byte.TryParse Int16.TryParse ...)

Không cần phải sử dụng bất kỳ lớp nào khác hoặc phương pháp khử trùng bổ sung.

Answer 4

Hãy nghe theo số OWASP podcast 67 with Jeff Williams on XSS. Anh ấy nói về việc không khử trùng hoặc mã hóa trước khi lưu trữ. Lý do chính là nếu (khi) thư viện phát triển để đáp ứng với các lỗ hổng mới dữ liệu của bạn sẽ bị mắc kẹt trở lại trong phiên bản cũ. Tất nhiên điều này không ngăn bạn chạy bất kỳ đầu vào nào đối với danh sách cho phép tại điểm vào và từ chối bất kỳ điều gì ngoài phạm vi chấp nhận được.