क्या एएसपी.नेट एमवीसी 4 को डिफ़ॉल्ट

Question

डिफ़ॉल्ट रूप से अतिरिक्त एक्सएसएस हैंडलिंग की आवश्यकता है, डिफ़ॉल्ट रूप से एएसपी.नेट एमवीसी 4 एक पोस्ट संदेश में HTML इनपुट को अनदेखा करता है। अगर मैं स्पष्ट रूप से एचटीएमएल स्वीकार नहीं करता हूं, तो क्या एक्सएसएस हमलों के खिलाफ मेरी साइट की रक्षा के लिए मुझे लिखने के लिए कोई कोड है? मैं [AllowHtml] या [ValidateInput(false)] का उपयोग नहीं करूँगा। मैं सिर्फ यह पता लगाने की कोशिश कर रहा हूं कि मुझे एक्सएसएस हमलों के बारे में चिंता करनी चाहिए या नहीं। मैं अपने दृश्य इंजन के रूप में रेजर का उपयोग कर रहा हूं।

Answer 1

मुझे Amir Ismail द्वारा एक उत्कृष्ट ब्लॉग पोस्ट मिला जो आपकी सभी चिंताओं को संबोधित करता है। http://miroprocessordev.blogspot.com/2012/03/save-aspnet-mvc-application-against.html

वह जो लिखता है उसे सारांशित करने के लिए। रेजर डिफ़ॉल्ट रूप से एन्कोड किया गया है जब तक कि Html.Raw का उपयोग नहीं किया जाता है। Html.AntiForgeryToken() का उपयोग यादृच्छिक टोकन बनाने के लिए किया जा सकता है जो सीएसआरएफ के खिलाफ सुरक्षा करेगा हालांकि इसे उपयोगकर्ता को कुकीज़ स्वीकार करने की आवश्यकता होती है।