有關HTML編碼的問題

Question

我正在使用jquery數據表和MS XSS庫。

我做了這個

AntiXss.HtmlEncode(MyDate.ToString("MM/dd/yyyy h:mm tt"))));

這使這個

07/22/2010 4:04 PM

因此其全部編碼。 現在，無論出於何種原因，這都會使數據表混亂。 它無法弄清楚如何排序。

那么為什么要對斜杠和圓點進行編碼呢？ 他們有什么不好？ 當它在瀏覽器中顯示時看起來像是07/22/2010 4:04 PM

所以我猜想數據表只接受編碼版本，卻不知道該怎么做。

我該怎么辦。 我想對數據進行編碼，但如果它弄亂了我的排序，那也不太好。 我應該改用安全的html片段嗎？

Answer 1

老實說，我不知道涉及斜線和點的XSS攻擊。 但是， 許多字符都有htmlentitiy等效項，並且正在進行此轉換，但是我不認為這是出於安全考慮。

在安全方面， 討厭的字符是這4個字符： '"<> 。另一件事，應該在用戶輸入上使用方法AntiXss.HtmlEncode()來防止XSS。在日期上運行此功能沒有多大意義不會受到攻擊者的影響...（當然，除非您針對時間旅行者進行防御）。

Answer 2

無需對日期進行編碼，只需對日期字符串的格式進行完整性檢查即可。 只要其格式正確，就不會存在腳本注入或其他惡作劇的危險。