Kentico v12 Portal Engine页面XSS漏洞修复：查询字符串Sanitize求助

核心问题分析 #

你之前直接把未处理的查询字符串QueryString.i拼进SQL WHERE条件里，这不仅有XSS风险，还存在SQL注入隐患。用UrlEncode没用是因为它只处理URL编码，对SQL/HTML特殊字符的安全处理完全不适用。

正确的查询字符串处理（Repeater配置层面） #

直接用参数化查询替代字符串拼接，这是Kentico里最安全的做法：

• 修改Repeater的WHERE条件为：Initial = @Initial
• 打开Repeater的参数配置面板，添加一个参数：
  • 参数名：Initial（要和WHERE里的@参数名完全一致）
  • 参数源：选择「Query string」
  • 查询字符串键：填i（对应URL里的?i=xx）
  • 数据类型：选「文本」（和你的自定义页面类型里的Initial字段类型匹配）

这种方式会让Kentico自动处理用户输入的转义和参数绑定，彻底避免SQL注入和通过查询注入的XSS。

展示层额外防护（杜绝输出型XSS） #

即使查询部分安全了，展示人员信息时也要做输出编码：

• 在Repeater的项模板里，对所有动态输出的字段套上HTMLEncode宏：
  • 比如原来的{% FullName %}改成{% HTMLEncode(FullName) %}，{% Initial %}改成{% HTMLEncode(Initial) %}
• 如果用的是Web部件自带的字段绑定，检查Web部件设置里是否有「Encode HTML输出」的勾选框，直接开启即可。

为什么之前的方法无效？ #

UrlEncode的作用是把URL里的特殊字符转成编码格式（比如空格转成%20），但对SQL注入需要的单引号'、XSS需要的<>这类字符，它不会做任何安全转义，所以根本解决不了问题。

内容的提问来源于stack exchange，提问作者Kelly SD