如何清理和验证用户输入以通过asp.netc#中的Checkmarx扫描

Question

在Checkmarx扫描中，我收到了易受攻击的例外，

获取dr元素的用户输入。然后，此元素的值在没有经过适当清理或验证的情况下流经代码，并最终在方法中显示给用户

 List<survey_bene> surveybenelist = new List<survey_bene>();
 cmd = new SqlCommand("SELECT ResondantCode FROM Respondant");
 DataTable dtdetails = vdm.SelectQuery(cmd).Tables[0];
 if (dtdetails.Rows.Count > 0)
 {
     foreach (DataRow dr in dtdetails.Rows)
      {
         survey_bene survey = new survey_bene();
         survey.resondantcode = dr["ResondantCode"].ToString();
         surveybenelist.Add(survey);
      }
 }

Answer 1

我在评论中的问题没有得到确切的回答，但我假设这是一个XSS漏洞。如果不是，那么我将相应地更新我的答案。

基于这一假设，您应该从HtmlServerUtility或HttpUtility类中调用HtmlEncode函数:

 List<survey_bene> surveybenelist = new List<survey_bene>();
 cmd = new SqlCommand("SELECT ResondantCode FROM Respondant");
 DataTable dtdetails = vdm.SelectQuery(cmd).Tables[0];
 if (dtdetails.Rows.Count > 0)
 {
     foreach (DataRow dr in dtdetails.Rows)
      {
         survey_bene survey = new survey_bene();
         survey.resondantcode = HttpUtility.HtmlEncode(dr["ResondantCode"].ToString());
         surveybenelist.Add(survey);
      }
 }