如何在Web應用程序中安全顯示HTML電子郵件？

Question

在C＃/ ASP.NET MVC網絡應用程序中，我想顯示來自不受信任來源的HTML電子郵件。有誰知道是否有已知的最佳實踐（甚至是工具）以「安全」的方式進行。據我所知，大多數webmails執行廣泛的預處理（禁用圖像鏈接，刪除腳本等）。

是否有什麼簡單的事情比只顯示電子郵件僅文本？

Answer 1

約安內斯，

做將是使用Web保護圖書館的白名單服務來過濾掉潛在的惡意HTML最簡單的事情：http://wpl.codeplex.com/

作爲實現更復雜的客戶行爲，如攔截圖片來源不明的，除非用戶授權，你可能想嘗試實施這些方針的東西：

1. 千萬不要錯過全<img src="{URI}" />標籤返回給客戶機 - 而不是推具有唯一ID屬性的圖像，並將其設置爲默認的「無法顯示圖像」圖標。
2. 添加一個按鈕或其他UI控件，用戶可以明確同意爲該方法顯示圖像。
3. 在您的電子郵件查看控制器上構建一個操作方法，該方法返回帶有包含圖像ID及其src值的字典的JsonResult。
4. 編寫一個JavaScript方法，該方法將調用操作方法，並在從操作方法接收到JsonResult時將適當的src值交換回原處。

希望這會有所幫助！