如何在Asp.Net数据绑定表达式中防止XSS

Question

我正在做一个项目，安全工具检测以下代码上的xss漏洞

            <asp:DataList ID="lstForums" SkinID="lstForums2" runat="server">
                <ItemTemplate>
                    <tr>
                        <td>

                            <%# DataBinder.Eval(Container.DataItem, "Description")%>       
                        </td>
                    </tr>
                </ItemTemplate>
            </asp:DataList>

然后为了解决这个问题，我添加了HttpUtility.EncodeHtml，如下所示

<%# HttpUtility.HtmlEncode(DataBinder.Eval(Container.DataItem, "Description"))%>  

但是安全扫描的结果仍然是一样的，我应该如何使该代码xss证明？

注意:当我删除该行时，安全扫描将通过

Answer 1

如果其他人有同样的问题，我找到了答案，

尽管HttpUtiltiy.EncodeHtml和Server.EncodeHtml做了同样的事情，但安全工具(checkmarx)只将Server.EncodeHtml视为阻止XSS的代码。

使用HttpUtility

​

​

使用服务器

​

​