Ajax Control Toolkit Éditeur contrôle - éviter les attaques XSS

Question

J'ai remarqué dans l'article this que Microsoft ne recommande pas d'utiliser le contrôle Editeur d'Ajax Control Toolkit dans les sites publics en raison du danger d'attaques par script intersite. Je l'ai essayé, et même si vous avez spécifiquement défini NoScript = "true", il est possible d'ajouter un script, et donc d'introduire des vulnérabilités d'attaque XSS. Dans ma situation, nous travaillons sur un processus de demande de bourse, et nous avions espéré utiliser cela à tous les candidats pour taper un essai en ligne. Nous voulions prendre les données et les afficher de nouveau au comité de révision, mais évidemment, c'est une mauvaise idée. Donc, je me demande si quelqu'un connaît une façon simple de valider le contenu pour permettre le HTML, mais pas le script, peut-être en utilisant un CustomValidator ou une expression régulière que je peux utiliser dans le code-behind. Je suis conscient qu'il est préférable de valider la liste blanche et non la validation de la liste noire. Alternativement, si quelqu'un est conscient d'un contrôle similaire qui protège contre les attaques XSS, ce serait également bien.

Answer 1

La dernière version de la bibliothèque AntiXSS fait maintenant de la désinfection HTML qui, je pense, fera ce que vous voulez. Jetez un oeil au blog de Blowdart dessus here.

MISE A JOUR 15 septembre 2015:
Le AntiXSS se est roulé dans le .Net 4.0 Framework, activez-le dans votre fichier .config.