Как использовать С# для очистки ввода на html-странице?

Мы используем библиотеку .Net HtmlSanitizer, которая:

• Является открытым исходным кодом (MIT) — ссылка на GitHub
• Полностью настраиваемый, например. настроить, какие элементы следует удалить. см. вики
• Активно поддерживается
• Не имеет проблем, таких как библиотека Microsoft Anti-XSS.
• Проведено модульное тестирование с шпаргалкой OWASP XSS Filter Evasion
• Создан специально для этого (в отличие от HTML Agility Pack, который является синтаксическим анализатором, а не дезинфицирующим средством).
• Не использует регулярные выражения (HTML не является обычным языком!)

Также на NuGet.

Основываясь на комментарии, который вы сделали к этому ответу, вы можете найти полезную информацию в этом вопросе:
https://stackoverflow.com/questions/72394/what-should-a-developer-know-передсозданиемобщедоступноговеб-сайта

Вот пример параметризованного запроса. Вместо этого:

string sql = "UPDATE UserRecord SET FirstName='" + txtFirstName.Text + "' WHERE UserID=" + UserID;

Сделай это:

SqlCommand cmd = new SqlCommand("UPDATE UserRecord SET FirstName= @FirstName WHERE UserID= @UserID");
cmd.Parameters.Add("@FirstName", SqlDbType.VarChar, 50).Value = txtFirstName.Text;
cmd.Parameters.Add("@UserID", SqlDbType.Integer).Value = UserID;

Изменить: поскольку инъекции не было, я удалил часть ответа, касающуюся этого. Я оставил пример базового параметризованного запроса, так как он может быть полезен всем, кто читает вопрос.
--Joel

Если под очисткой вы подразумеваете полное УДАЛЕНИЕ тегов, пример RegEx, на который ссылается Брайант, — это тип решения, которое вам нужно.

Если вы просто хотите убедиться, что код НЕ мешает вашему дизайну и не отображается пользователю. Вы можете использовать метод HttpUtility.HtmlEncode, чтобы предотвратить это!

Как насчет использования библиотеки Microsoft Anti-Cross Site Scripting Library?

Похоже, у вас есть пользователи, которые отправляют контент, но вы не можете им полностью доверять, и все же хотите отображать контент, который они предоставляют, как супер безопасный HTML. Вот три метода: HTML-кодирование всего, HTML-кодирование и/или удаление только плохих частей или использование DSL, который компилируется в HTML, который вам удобен.

1. Должен ли он стать "Джон Доу"? Я бы HTML закодируйте эту строку и позвольте пользователю "John Doe" (если это действительно его настоящее имя...) иметь глупое имя <script src='bobs.js'>John Doe</script>. Он вообще не должен заключать свое имя в теги сценария или любые другие теги. Это подход, который я использую во всех случаях, если нет действительно хорошего экономического обоснования для одного из других методов.

2. Принимать HTML от пользователя, а затем очищать его (на выходе), используя подход с использованием белого списка, такой как метод дезинфекции @Bryant упомянул. Сделать это правильно (чрезвычайно) сложно, и я откладываю это на более высокие умы. Обратите внимание, что некоторые дезинфицирующие средства будут кодировать в HTML зло, в то время как другие полностью удалили бы оскорбительные биты.

3. Другой подход заключается в использовании DSL, который "компилируется" в HTML. Убедитесь, что ваш компилятор DSL whitehat, потому что некоторые (например, MarkdownSharp) позволит использовать произвольный HTML, например теги <script>, и вредоносные атрибуты в незакодированном виде (что, кстати, вполне разумно, но может не соответствовать вы нуждаетесь или ожидаете). Если это так, вам нужно будет использовать метод № 2 и очистить то, что выводит ваш компилятор.

Заключительные мысли:

• Если нет сильного экономического обоснования для метода № 2 или № 3, тогда уменьшите риск и сэкономьте свои усилия и беспокойство, используйте метод № 1.
• Не думайте, что вы в безопасности, потому что вы использовали DSL. Например: исходная реализация Markdown позволяет использовать HTML без кодировки. "Для любой разметки, которая не поддерживается синтаксисом Markdown, вы просто используете сам HTML. Нет необходимости предварять его или разделите его, чтобы указать, что вы переключаетесь с Markdown на HTML; вы просто используете теги."
• Кодировать при выводе. Вы также можете кодировать ввод, но это может поставить вас в затруднительное положение. Если вы закодировали неправильно и сохранили это, как вы вернете исходный ввод, чтобы вы могли повторно закодировать после исправления неисправного кодировщика?