如何阻止外部脚本调用ASP.NET C#代码，防范XSS攻击？

你的核心问题不是Page_Load被外部调用，而是搜索结果输出时未对用户输入进行编码，导致XSS攻击。恶意表单提交的value参数包含可执行的JS代码，当你的页面直接将该值输出到响应HTML中时，浏览器会解析并执行这段恶意代码。以下是针对性的解决步骤：

1. 强制对输出内容进行HTML编码（核心防护） #

XSS的根源是用户输入被当作HTML/JS执行，所以必须在输出用户输入时转义特殊字符：

• 在C#后台处理时，使用HttpUtility.HtmlEncode转义用户输入：

  // 获取用户输入并转义
  string rawValue = Request.Form["value"];
  string safeValue = HttpUtility.HtmlEncode(rawValue);
  // 后续生成HTML时使用safeValue，而非原始输入
  

• 如果是在ASPX页面直接绑定数据，用<%: %>语法（自动编码）替代<%= %>：

  <!-- 安全写法 -->
  <div><%: SearchResultValue %></div>
  <!-- 危险写法 -->
  <div><%= SearchResultValue %></div>
  

2. 限制请求来源，拦截非AJAX提交 #

你的页面设计为AJAX调用，可通过请求头验证拦截普通表单提交：

protected void Page_Load(object sender, EventArgs e)
{
    // 验证是否为AJAX请求
    if (!IsAjaxRequest())
    {
        Response.StatusCode = 403;
        Response.Write("Invalid request");
        Response.End();
        return;
    }

    try
    {
        PerformSearch();
    }
    catch (Exception ex)
    {
        Util.SendErrorEmail(ex);
        Response.StatusCode = 500;
        Response.Write("Search failed");
        Response.End();
    }
}

// 自定义AJAX判断方法（WebForms无内置IsAjaxRequest）
private bool IsAjaxRequest()
{
    return Request.Headers["X-Requested-With"] == "XMLHttpRequest";
}

3. 启用ASP.NET请求验证 #

在页面或全局配置中启用请求验证，拦截包含HTML/JS关键字的恶意输入：

• 页面级别：修改ASPX页面指令

  <%@ Page Language="C#" AutoEventWireup="true" Inherits="search_function" Codebehind="search_function.aspx.cs" ValidateRequest="true" %>
  

• 全局级别（web.config）：

  <system.web>
      <pages validateRequest="true" />
  </system.web>
  

注意：请求验证是基础防护，不能替代输出编码，需配合使用。

4. 严格校验输入参数格式 #

根据业务规则限制输入内容，比如搜索关键词只允许合法字符：

string value = Request.Form["value"];
// 示例：只允许字母、数字、空格及常见标点
if (!Regex.IsMatch(value, @"^[a-zA-Z0-9\s\-\.,!?]+$"))
{
    Response.StatusCode = 400;
    Response.Write("Invalid search content");
    Response.End();
    return;
}

5. 修复异常处理逻辑 #

原代码中捕获异常后重复调用PerformSearch，可能导致错误信息泄露或重复执行风险，改为返回友好错误：

protected void Page_Load(object sender, EventArgs e)
{
    try
    {
        PerformSearch();
    }
    catch (Exception ex)
    {
        Util.SendErrorEmail(ex);
        // 返回错误状态码和提示，终止响应
        Response.StatusCode = 500;
        Response.Write("An error occurred during search");
        Response.End();
    }
}

内容的提问来源于stack exchange，提问作者user24846708