如何在Microsoft AntiXSS中标记&和单引号为安全字符？

没问题，我来帮你搞定这个！要把&和单引号添加到Microsoft AntiXSS库的安全字符列表里，确实是用MarkAsSafe方法，具体操作其实很简单，分几步来：

1. 确保引用正确的库 #

首先确认你已经通过NuGet安装了Microsoft.Security.Application.AntiXss包，并且代码中引入了命名空间：

using Microsoft.Security.Application;

2. 调用MarkAsSafe标记安全字符 #

MarkAsSafe方法需要指定字符适用的HTML上下文（比如是元素文本内容，还是属性值），以及要标记的字符。你可以根据自己的使用场景选择对应的上下文：

场景1：允许在HTML元素文本内容中使用&和单引号 #

如果你的编码场景是普通的HTML文本内容（比如<div>这里的内容</div>），执行以下代码：

// 在应用启动时执行一次即可，比如ASP.NET的Global.asax或.NET Core的Program.cs
AntiXss.MarkAsSafe(HtmlElementType.Text, '&', '\'');

场景2：允许在HTML属性值中使用&和单引号 #

如果是处理HTML属性值（比如<input value="这里的内容">），则把上下文改成HtmlElementType.Attribute：

AntiXss.MarkAsSafe(HtmlElementType.Attribute, '&', '\'');

3. 验证效果 #

调用完成后，再使用AntiXss.HtmlEncode时，这两个字符就不会被编码了。比如：

string testInput = "Hello & 'World'";
string encodedResult = AntiXss.HtmlEncode(testInput);
// 标记安全后，结果会是 "Hello & 'World'"，而非默认的 "Hello & 'World'"

重要注意事项 #

• 仅在应用启动时调用一次：不需要每次编码都执行MarkAsSafe，全局配置一次即可生效。
• 谨慎处理&字符：&是HTML实体的起始标记，允许它作为安全字符可能会引入XSS风险，除非你完全确认你的业务场景不需要对&进行编码（比如你已经手动处理了其他实体的情况）。
• 单引号的场景限制：如果属性值是用单引号包裹的（比如value='xxx'），允许单引号作为安全字符可以避免不必要的编码，但如果属性值用双引号包裹，这个配置可能不会影响单引号的编码逻辑。

内容的提问来源于stack exchange，提问作者Mikyas Gami