爲何XSS預防不足ValidateRequest =「true」？

Question

在"How To: Prevent Cross-Site Scripting in ASP.NET"中的步驟1的註釋中指出，您應該「不要依賴ASP.NET請求驗證，除了您自己的輸入驗證外，還應將其視爲額外的預防措施。」

爲什麼不夠？

Answer 1

首先，黑客總是想出新的攻擊和插入XSS的新方法。 ASP.NET的RequestValidation只有在ASP.NET新版本發佈時纔會更新，因此如果有人在ASP.NET發佈RequestValidation後的第二天提出新的攻擊，它將無法捕獲它。

這（我相信）是AntiXSS項目出現的原因之一，所以它可以有一個更快的發佈週期。

Answer 2

只有兩個提示：

• 應用程序可能輸出用你的ASP.NET表單中輸入的不僅是數據。想想網絡服務，RSS源，其他數據庫，從用戶上傳中提取的信息等。

• 有時需要禁用默認（有效但過於簡單）的請求驗證，因爲您需要接受表單中的尖括號。想想一個所見即所得的編輯器。