默认情况下，ASP.NET MVC 4是否需要额外的XSS处理？

Question

默认情况下，HTMLMVC4会忽略post消息中的ASP.NET输入。如果我不明确地接受HTML，我需要编写什么代码来保护我的站点免受XSS攻击吗？我不会使用[AllowHtml]或[ValidateInput(false)]。我只是想知道我是否应该担心XSS攻击。我使用Razor作为我的视图引擎。

Answer 1

我发现了Amir Ismail的一篇很好的博客文章，它解决了你所有的担忧。http://miroprocessordev.blogspot.com/2012/03/save-aspnet-mvc-application-against.html

总结一下他写的东西。除非使用Html.Raw，否则默认编码为Razor。Html.AntiForgeryToken()可用于创建一个随机令牌，该令牌将保护用户免受CSRF攻击，但它要求用户接受cookies。