ASP.NET C#中如何清理验证输入通过Checkmarx扫描并修复dr元素漏洞？

这个告警本质是Checkmarx触发了存储型XSS的检测规则：从数据库DataRow读取的字段值会被判定为不可信污点源（哪怕当初存的时候是合法值，也可能被后续注入篡改），如果这类值没经过有效清理就沿着代码链路传递，最终渲染给终端用户时就会触发告警。
修复要做两个核心动作，而且必须用Checkmarx规则库能识别的原生方法，别自己写清理逻辑——自研的逻辑就算真的能防住，扫描工具不认也白搭。

1. 从数据库取值后先做白名单校验 #

所有业务字段的合法性判断必须基于预先定义的白名单规则，不能用“过滤特殊字符”的黑名单逻辑（Checkmarx不认黑名单的防护有效性）。
实际写法参考（正则规则根据自身业务的字段格式调整即可）：

// 定义业务允许的ResondantCode格式：比如为8位大写字母+数字组合，无特殊符号
var respondentCodePattern = new Regex(@"^[A-Z0-9]{8}$", RegexOptions.Compiled);

List<survey_bene> surveybenelist = new List<survey_bene>();
cmd = new SqlCommand("SELECT ResondantCode FROM Respondant");
DataTable dtdetails = vdm.SelectQuery(cmd).Tables[0];
if (dtdetails.Rows.Count > 0)
{
    foreach (DataRow dr in dtdetails.Rows)
    {
        // 先取值到独立临时变量，做基础空值防护
        string rawCode = dr["ResondantCode"]?.ToString()?.Trim() ?? string.Empty;
        
        // 白名单校验：不符合规则的值直接替换为合法默认值，阻断恶意值流转
        if (!respondentCodePattern.IsMatch(rawCode))
        {
            // 记录异常值日志，避免数据被恶意篡改后静默丢失
            rawCode = "INVALID0";
        }

        survey_bene survey = new survey_bene();
        // 校验完成后再赋值给实体，让污点流追踪能看到完整的清理路径
        survey.resondantcode = rawCode;
        surveybenelist.Add(survey);
    }
}

注意：必须把取值、清理、赋值的动作拆成独立步骤，不要直接在赋值表达式里链接触点读取（比如survey.resondantcode = dr["xxx"].ToString()这种写法，扫描工具很难直接追踪到中间的清理动作）。

2. 最终输出到前端环节必须做原生编码 #

仅做取值后的校验还不够，Checkmarx要求从污点源到最终展示给用户的输出链路中，必须有明确的编码动作，这类编码必须使用ASP.NET内置的、被规则库收录的方法，不要自研替换标签的逻辑：

• 如果是Razor页面渲染：直接用@Model.resondantcode即可（Razor默认会自动做HTML编码），避免用@Html.Raw(Model.resondantcode)这类跳过编码的写法
• 如果是Web Forms后端直接输出：用HttpUtility.HtmlEncode(取值)处理后再输出，禁止直接Response.Write(原始值)
• 如果是通过接口返回给前端JS动态渲染：根据前端上下文选择对应编码方法，比如JS字符串上下文就用HttpUtility.JavaScriptStringEncode(取值)

3. 容易踩的扫描漏判坑 #

• 不要用自研的“过滤<>&特殊字符”的字符串处理函数，Checkmarx规则库不识别这类自定义实现，会认为没有做有效清理
• 不要把校验后的字符串直接传递给响应流、前端模板的无编码渲染通道，只要链路中存在规则库可识别的白名单校验、原生编码动作，对应的XSS告警就会自动消除
• 额外提醒：当前代码中的SqlCommand如果后续加查询条件一定要用参数化构造，不然会触发SQL注入类的其他告警

内容的提问来源于stack exchange，提问作者user3755418