我应该在ASP.NET MVC中使用Anti-XSS Security Runtime Engine吗？

我一直在阅读Anti-XSS Security Runtime Engine,它看起来像是一个很好的Web表单解决方案,因为它通过反射检查控件并在适当的时候自动编码数据.但是,由于我没有真正使用ASP.NET MVC中的服务器端控件,因此它似乎不是ASP.NET MVC的可行解决方案.这是正确的还是我错过了什么？

1> 小智..：

---

Anti-XSS Security Runtime Engine是一个HTTP模块,主要用于更新旧版ASP.NET应用程序.如果您已经使用内置的HTML Helpers(即Html.Encode())编写了适当的数据清理ASP.NET MVC应用程序,那么Anti-XSS Engine不会增加任何新内容,并且需要额外的配置(对于必要的白色 - 列表)和错误检查.

总而言之,您不应该依赖Anti-XSS Engine,尤其是如果您依赖于何时输入并且不呈现为HTML的显式控制.

---

有点 - 我拥有AntiXss和SRE,虽然他们是同一个项目的一部分,但他们不是一回事.AntiXSS的编码与.NET编码器的不同之处在于,我们使用安全列表而不是不安全列表来决定哪些字符需要转换为十六进制等值,哪些不需要.这具有性能成本,但本质上更安全.因此使用这些编码例程是有利的.安全运行时是一个不同的野兽,它是一个简单的应用程序防火墙,可以查找常见的攻击.它的一部分是特定的Web表单,部分适用于webforms和MVC