点网络应用程序上的CheckMarx扫描

Question

Checkmarx扫描抱怨某些“元素的值在没有经过适当清理或验证的情况下流过代码，并最终在OnItemDataBound方法中显示给用户

strText = dropdownlist.SelectedValue;

或者

return dropdownlist.SelectedValue;

如何清理这些值？HTML编码和解码是否容易避免此类漏洞结果？

请注意，这是针对dot net应用程序的。

Answer 1

假设这是指一个XSS漏洞发现，结果字符串就像任何其他字符串，并可由攻击者控制。< br >所以，是的，在嵌入HTML之前，您应该对该字符串调用HTMLEncode(或执行某种其他类型的清理，根据上下文进行定义，例如AntiXSS)——就像您对任何其他外部数据所做的那样。