今天介绍ASP.NET 4引入的新的语法特性——即在代码块中自动产生HTML编码输出的能力。这可以帮助保护应用程序和站点免受跨站点脚本(XSS)注入和HTML注入***,并使你能够使用简洁的语法来做到这一点。

HTML编码

跨站点脚本注入(XSS)和HTML编码***是两个最常见的折磨网站和应用程序的安全性问题。当***发现了一个可以把客户端脚本或HTML标记注入到页面的方法,随后其他访问者查看此页面时就会发生此类问题。这可能会被用于破坏网站,还可以让***能够运行客户端脚本代码盗取cookie数据并利用用户的身份在网站上做坏事。

一种避免跨站点脚本***的方法是确保呈现的输出在页面中都是 HTML 编码的。这就确保了任何被终端用户输入/修改的内容在输出回页面时都不会包含像