如何在使用FtpWebRequest时防范跨站脚本（XSS）漏洞？

首先明确：你当前的FTP上传代码本身不会直接导致XSS漏洞——XSS的根源是后续这个文件的内容被输出到Web浏览器时，没有做安全转义处理，而非上传过程的问题。你完全可以原样上传文件，重点在文件的访问环节做防护：

1. 改变文件的浏览器访问逻辑 #

• 如果文件是纯文本、HTML类内容，不要让浏览器直接渲染，改为强制触发下载：在服务器返回文件时设置HTTP响应头 Content-Disposition: attachment; filename="你的文件名"，这样浏览器会直接下载文件，不会解析执行里面的脚本。
• 严格限制文件的访问权限，只对授权用户开放，避免恶意用户利用上传文件发起攻击。

2. 对网页展示的内容做转义处理 #

如果必须在Web页面中展示文件内容，要对内容做HTML转义：

• 在C#中可使用HttpUtility.HtmlEncode()方法，把<、>、&、"等特殊字符转义为HTML实体，浏览器会将其当作普通文本显示，不会解析为脚本。
  示例代码：

  string rawContent = File.ReadAllText("上传文件的存储路径");
  string safeContent = HttpUtility.HtmlEncode(rawContent);
  // 将safeContent输出到网页中即可
  

3. 可选增强：校验上传文件类型 #

虽然你需要原样上传文件，但可以额外增加文件类型校验，避免上传伪装成合法文件的恶意脚本：

• 同时检查文件扩展名、MIME类型和文件头信息，确保上传的文件符合预期类型。

关于上传代码的补充说明 #

你提供的上传代码里，requestStream.Write只是将内容传到FTP服务器，这个过程不会触发XSS。提示里的“向Web浏览器发送未验证的数据”，指的是后续服务器把该文件内容返回给浏览器时的操作，和上传环节无关。

内容的提问来源于stack exchange，提问作者alinz