如何在ASP.NET代码中避免XSS攻击？定位代码及编码方案咨询

第一步：定位参数u的实际使用位置 #

这个XSS是因为URL里的u参数值被直接输出到页面（或脚本）中执行了，你需要先找到这个参数被处理的地方：

• 优先检查ShowPage.aspx及其后台代码文件（ShowPage.aspx.cs）：
  • 后台代码里搜索Request.QueryString["u"]或Request["u"]，找到获取该参数的代码段，看它是直接输出到响应、绑定到控件，还是传递给前端脚本。
  • 前端ASPX页面里搜索<%= Request.QueryString["u"] %>或类似的绑定语法，看是否直接把参数插入到HTML标签（比如<a href="...">、<div>的内容里）。
• 如果ShowPage.aspx里没找到，就检查项目中其他生成这个URL的页面：比如有没有页面通过Response.Redirect生成带u参数的跳转链接，或者在<a>标签里拼接这个参数，这些生成链接的地方也可能是风险点。

第二步：针对不同场景应用编码逻辑 #

找到位置后，根据参数的使用方式选择正确的处理方式：

• 如果是后台将参数输出到HTML内容中：在输出前用HttpUtility.HtmlEncode处理参数值。比如原本的代码是：

  Response.Write(Request.QueryString["u"]);
  

  改成：

  Response.Write(HttpUtility.HtmlEncode(Request.QueryString["u"]));
  

  要是绑定到控件的Text属性，直接赋值编码后的字符串即可。
• 如果是将参数作为链接的href属性值：除了编码，还要先验证参数合法性。比如u参数应该是合法的HTTP/HTTPS链接，先判断是否以http://或https://开头，不符合就直接替换成默认页面；然后用HttpUtility.UrlEncode处理参数值再拼接URL，或者用HtmlEncode处理后赋值给href属性。
• 如果是前端JavaScript直接使用该参数：不要用innerHTML插入参数内容，改用textContent；如果必须作为URL使用，用encodeURIComponent处理，同时也要做合法性校验。

第三步：额外防护加固 #

• 参数合法性校验：明确u参数的预期格式（比如只能是内部页面路径、指定域名的URL），不符合就拒绝处理，避免接受任意输入。
• 启用ASP.NET内置请求验证：在Web.config里添加或修改配置：

  <system.web>
    <httpRuntime requestValidationMode="4.5" />
    <pages validateRequest="true" />
  </system.web>
  

  注意这可能拦截一些合法输入，需要根据业务调整。
• 添加内容安全策略（CSP）：在页面响应头中设置CSP，限制脚本执行来源，比如：

  Content-Security-Policy: default-src 'self'; script-src 'self'
  

  即使出现XSS漏洞，恶意脚本也无法执行。

内容的提问来源于stack exchange，提问作者iDeveloper