htmlインジェクションなしアンカータグへのラッピング2.5 M

Question

どのように私のコードでhtmlインジェクションの問題をprevertできますか？

私は、文字列内のすべてのハイパーリンクをアンカーにラップする機能を持っています。だから私はこれを持っている

@Html.Raw(Helpers.UtilHelpers.ReplaceLinks(Model.Texts[index].Content)) 

私はこの危険なトリックなしでこれを行うことができますか？このようにして、ユーザーはhtmlインジェクションを行うことができます。

私の関数ReplaceLinksは、http://www.google.comのようなすべてのハイパーリンクを<a href="google.com">http://www.google.com</a>に置き換えているので、この行をテキストではなくハイパーリンクとして表示します。しかし私は私の機能によって生成されたこのタグのように見せたいと思う。

Answer 1

使用Server.HtmlEncode：テキストがHTMLが含まれている場合http://msdn.microsoft.com/en-us/library/ms525347(v=vs.90).aspx

、それがエンコード表示されます。

編集：ヘルパーとして追加されました（拡張方式）

public static class HtmlUrlExtension 
{ 
    public static string RawUrl(this HtmlHelper html, string url) 
    { 
     return html.Raw(HttpServerUtility.HtmlEncode(url)); 
    } 
} 

そして、それを使用する：中

@Html.RawUrl(Model.Texts[index].Content) 

Answer 2

AntiXSSライブラリを使用すると、危険なタグやスクリプトをフィルタリングし、エンコードしないでユーザーが入力したHTML文字列を安全に表示できます。

Answer 3

をあなたの関数は、その後、カスタムCSSクラスを使用してスパンを追加して、あなたのリンクのスタイルを置き換えますその

<span class="myLinkClass" url-data="......">fooo</span> 

あなたのリンク次のjQueryの魔法によって管理されます。あなたが（クライアント側詰め込むために）

$("span.myLinkClass").each(new function() { 
    $(this).click(function() { 
     location.href = $(this).attr("url-data"); 
    }); 
}); 

をシンプルなjQueryのセレクタを使用することができますし、もちろんあなたは残念ながらそれで

.myLinkClass { color: yellow; }