Existe-t-il une implémentation .NET de HtmlPurifier (php)?

Question

Existe-t-il une bibliothèque complète de nettoyeurs Html/Anti-Xss pour .NET disposant également d'une liste blanche définie? Je sais que Microsofts Anti-Xss est un bon point de départ, mais il a besoin d'une bonne liste blanche pour les balises html et css. Est-ce que quelqu'un sait quelque chose?

Answer 1

Quel est le problème avec la bibliothèque Anti-XSS de Microsoft (que vous avez mentionnée)?

Ils ont un filtrage HTML complet qui filtre les caractères en fonction d'une liste blanche, analyse le code HTML, filtre les nœuds en fonction d'une liste blanche, puis régénère le code HTML (sécurisé). Vous pouvez changer les listes blanches (puisque le code est ouvert), mais je ne suis pas sûr que vous le vouliez.

L'utilisation est simple aussi:

var sanitizedHtml = Microsoft.Security.Application.Sanitizer.GetSafeHtmlFragment(inputHtml); 

Answer 2

Selon MSDN (voir « Permettre restreint HTML entrée ») la meilleure façon de nettoyer l'entrée HTML est d'appeler HttpUtility.HtmlEncode() sur votre entrée, puis remplacer sélectivement le codage sur tous vos balises de liste blanche comme ceci:

<%@ Page Language="C#" ValidateRequest="false"%>  
<script runat="server">  
    void submitBtn_Click(object sender, EventArgs e) 
    { 
    // Encode the string input 
    StringBuilder sb = new StringBuilder(
          HttpUtility.HtmlEncode(htmlInputTxt.Text)); 
    // Selectively allow and <i> 
    sb.Replace("&lt;b&gt;", "<b>"); 
    sb.Replace("&lt;/b&gt;", ""); 
    sb.Replace("&lt;i&gt;", "<i>"); 
    sb.Replace("&lt;/i&gt;", ""); 
    Response.Write(sb.ToString()); 
    } 
</script> 

Voir aussi this article.