防止JavaScript攻击.docVIP

阻止 JavaScript 注入攻击 本教程的目的是解释如何在 ASP.NET MVC 应用程序中阻止 JavaScript 注入攻击。本教程讨论防止网站遭受 JavaScript 注入攻击的两种方法。我们将学习如何通过编码显示的数据防止 JavaScript 注入攻击。我们还将学习如何通过编码接受的内容防止 JavaScript 注入攻击。 什么是 JavaScript 注入攻击？ 每当接受用户输入的内容并重新显示这些内容时，网站就很容易遭受 JavaScript 注入攻击。让我们研究一个容易遭受 JavaScript 注入攻击的具体应用程序。 假设已经创建了一个客户反馈网站，如图 1 所示。客户可以访问网站并输入对产品的反馈信息。当客户提交反馈时，反馈信息重新显示在反馈页面上。 ? 图 1：客户反馈网站（ 单击查看大图） 客户反馈网站使用程序清单 1 中的 controller。此 controller 包含两个名称为 Index() 和 Create() 的操作。 程序清单 1 HomeController.vb 复制代码 Public Class HomeController Inherits System.Web.Mvc.Controller Private db As New FeedbackDataContext() Function Index() Return View(db.Feedbacks) End Function Function Create(ByVal message As String) Add feedback Dim newFeedback As New Feedback() newFeedback.Message = Server.HtmlEncode(message) newFeedback.EntryDate = DateTime.Now db.Feedbacks.InsertOnSubmit(newFeedback) db.SubmitChanges() Redirect Return RedirectToAction(Index) End Function End Class Index() 方法显示 Index 视图。此方法将以前所有的客户反馈传递到 Index 视图，方法是使用 LINQ to SQL 查询从数据库检索反馈。 Create() 方法创建新的 Feedback 项并将其添加到数据库。客户输入到表单中的消息将传递到消息参数中的 Create() 方法。创建了一个 Feedback 项，消息被分配给 Feedback 项的 Message 属性。通过调用 DataContext.SubmitChanges() 方法，将 Feedback 项提交到数据库。最后，将访问者重定向到 Index 视图，该视图显示所有的反馈。 程序清单 2 中包含了 Index 视图。 程序清单 2 Index.aspx 复制代码 %@ Page Language=VB MasterPageFile=~/Views/Shared/Site.Master AutoEventWireup=false CodeBehind=Index.aspx.vb Inherits=CustomerFeedback.Index% asp:Content ID=indexContent ContentPlaceHolderID=MainContent runat=server h1Customer Feedback/h1 p Please use the following form to enter feedback about our product. /p form method=post action=/Home/Create label for=messageMessage:/label br / textarea name=message cols=50 rows=2/textarea br /br / input type=submit value=Submit Feedback / /form % For Each feedback As CustomerFeedback.Fe