为什么设置ValidateRequest="true"不能防止XSS攻击？

Question

6

在“如何：在ASP.NET中防止跨站点脚本”的第一步骤注释中指出，您不应该“仅依赖于ASP.NET请求验证。将其视为额外预防措施，除了自己的输入验证之外。”

为什么这还不够呢？

- Peter Evjan

2个回答

2

只有两个提示：

- realMarkusSchmidt

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- PhilPursglove · Accepted Answer

一方面，黑客总是想出新的攻击方式和插入XSS的方法。ASP.NET的RequestValidation只有在发布新版本时才会更新，因此如果有人在ASP.NET发布后的第二天想出了一种新的攻击方式，RequestValidation将无法捕获它。

这是我认为AntiXSS项目出现的原因之一，因此它可以拥有更快的发布周期。