Выборочное кодирование HTML (все, кроме определенных тегов) в .NET?

Question

Мне нужно отобразить содержимое строки (на котором я не контролирую) на веб-странице. Все должно отображаться как за исключением определенного ограниченного количества тегов HTML (strong, em, p, br). Это должно быть честью, и я понимаю, что ее безопасность не оставляет их незатронутыми. Все остальное должно отображаться как есть.

Удивительно, что большинство HTML Sanitizers действительно навязчивы в том смысле, что они направлены на устранение того, что они считают «небезопасным». Почему это? Почему они не отказываются от удаления вместо удаления? Должен ли я зарезервировать для хака вдоль линий

var encoded = System.Web.Security.AntiXss.AntiXssEncoder.HtmlEncode("string content"); 
var encodedWithSafeTagsReenabled = encoded.Replace("&lt;strong&gt;", "<strong>"); 

Есть ли чище и более надежный способ сделать это в .NET экосистема в 2016 году? Опять же, почитайте белый список тегов и сохраните (закодируйте, а не удалите) все остальное?

* Чтобы уточнить, это будет использоваться для размещения контента в конкретном div на веб-странице (я знаю, что кодировка должна зависящей от контекста на основе обманутого листа OWASP XSS).

Answer 1

Удаление, конечно, самый безопасный вариант. Если мы будем кодировать только html, это может быть un-htmlencoded, если в другом месте есть ошибка XSS.

Например, этот JQuery скрипт:

var searchText = searchstring.text(); 
if(noResults) 
{ 
    $("div.noResults").html("no results found for <b>" + searchText + "</b>"); //boom 
} 

Есть ли чище и более надежный способ сделать это в .NET экосистема в 2016 году? Опять же, почитайте белый список тегов и сохраните (закодируйте, а не удалите) все остальное?

Вы можете сделать это с HtmlSanitizer (NuGet) библиотеки и использовать RemovingTag событие:

var sanitizer = new HtmlSanitizer(); 
sanitizer.RemovingTag += (sender, args) => 
{ 

    var tag = args.Tag; 

    args.Cancel = true; 
    tag.OuterHtml = WebUtility.HtmlEncode(tag.OuterHtml); 

};