Czy należy używać mechanizmu wykonawczego zabezpieczeń Anti-XSS Security w środowisku ASP.NET MVC?

Question

Czytałem w systemie Runtime Engine Anti-XSS Security i wygląda na to, że jest to dobre rozwiązanie dla formularzy internetowych, ponieważ sprawdza kontrole poprzez odbicie i automatycznie koduje dane w odpowiednich przypadkach. Jednak ponieważ nie używam kontrolek po stronie serwera w ASP.NET MVC, nie wydaje się, aby był on skutecznym rozwiązaniem dla ASP.NET MVC. Czy to prawda, czy też coś mi brakuje?

Answer 1

Phil Haack ma interesujący post na blogu tutaj http://haacked.com/archive/2009/02/07/take-charge-of-your-security.aspx. Sugeruje użycie Anti-XSS w połączeniu z CAT.NET.

Answer 2

Aparat wykonawczy zabezpieczeń Anti-XSS Security jest modułem HTTP zaprojektowanym głównie z myślą o aktualizowaniu starszych aplikacji ASP.NET. Jeśli już napisałeś aplikację ASP.NET MVC z odpowiednim oczyszczeniem danych za pomocą wbudowanych pomocników HTML (tj. Html.Encode()), to aparat Anti-XSS Engine nie dodaje nic nowego i wymaga dodatkowej konfiguracji (w celu uzyskania niezbędnych białych znaków). list) i sprawdzanie błędów.

Podsumowując, nie powinieneś polegać na silniku Anti-XSS, szczególnie jeśli polegasz na wyraźnej kontroli kiedy wejście jest i nie jest renderowane jako HTML.