Очистить закодированный html текст (# десятичная нотация) из выходных данных AntiXSS v3

Ваша проблема в том, что C # неправильно интерпретирует ваше регулярное выражение. Вам нужно избегать знака #. Без побега это слишком много совпадений.

private static Regex _whitelist = new Regex(@"
    ^&\#60;(&\#47;)? (a|b(lockquote)?|code|em|h(1|2|3)|i|li|ol|p(re)?|s(ub|up|trong|trike)?|ul)&\#62;$
    |^&\#60;(b|h)r\s?(&\#47;)?&\#62;$
    |^&\#60;a(?!&\#62;).+?&\#62;$
    |^&\#60;img(?!&\#62;).+?(&\#47;)?&\#62;$",

    RegexOptions.Singleline |
    RegexOptions.IgnorePatternWhitespace |
    RegexOptions.ExplicitCapture 
    RegexOptions.Compiled
 );

Обновление 2. Возможно, вас заинтересуют эти xss и regexp site.

Рассматривали ли вы использование Markdown, VBCode или других подобных подходов, чтобы пользователи могли отмечать свои комментарии? Затем вы можете запретить весь HTML.

Если вы должны разрешить HTML, я бы подумал об использовании HTML-парсера (в духе HTMLTidy) и сделал бы там белый список.

Да, я использую редактор WMD с уценкой, но я хочу, чтобы пользователи могли публиковать HTML и примеры кода, например, в Stack Overflow, поэтому я не хочу полностью запрещать HTML.

Я просматривал HTML Tidy, но еще не пробовал. Однако я использую Html Agility Pack, чтобы убедиться, что HTML правильный (без лишних тегов). Это делается перед запуском AntiXss.

Я попробую HTML Tidy, если я не смогу заставить мое текущее решение работать так, как мне нравится, спасибо за предложение.

У меня Mac, поэтому я не могу протестировать ваш код C #. Но мне кажется, что вы должны сделать так, чтобы регулярное выражение _whitelist работало только с именами тегов. Это может означать, что вам нужно сделать два прохода, один для открытия и один для закрытия тегов. Но так будет намного проще.

Я снова опубликую здесь полный код (немного отредактированный и с обновленными комментариями), если кто-нибудь будет заинтересован в его использовании.

Я также решил удалить тег img из белого списка, поскольку @Pez и @some отметили, что это может быть опасно разрешать.

Также должен отметить, что я не тестировал это должным образом против возможных атак XSS. Это просто точка зрения, которую я хочу увидеть, насколько хорошо работает этот метод.

class HtmlSanitizer
{
    /// <summary>
    /// A regex that matches things that look like a HTML tag after HtmlEncoding to &#DECIMAL; notation. Microsoft AntiXSS 3.0 can be used to preform this. Splits the input so we can get discrete
    /// chunks that start with &#60; and ends with either end of line or &#62;
    /// </summary>
    private static readonly Regex _tags = new Regex(@"&\#60;(?!&\#62;).+?(&\#62;|$)", RegexOptions.Singleline | RegexOptions.ExplicitCapture | RegexOptions.Compiled);


    /// <summary>
    /// A regex that will match tags on the whitelist, so we can run them through 
    /// HttpUtility.HtmlDecode
    /// FIXME - Could be improved, since this might decode &#60; etc in the middle of
    /// an a/link tag (i.e. in the text in between the opening and closing tag)
    /// </summary>

    private static readonly Regex _whitelist = new Regex(@"
^&\#60;(&\#47;)? (a|b(lockquote)?|code|em|h(1|2|3)|i|li|ol|p(re)?|s(ub|up|trong|trike)?|ul)&\#62;$
|^&\#60;(b|h)r\s?(&\#47;)?&\#62;$
|^&\#60;a(?!&\#62;).+?&\#62;$",


      RegexOptions.Singleline | RegexOptions.IgnorePatternWhitespace |
      RegexOptions.ExplicitCapture | RegexOptions.Compiled);

    /// <summary>
    /// HtmlDecode any potentially safe HTML tags from the provided HtmlEncoded HTML input using 
    /// a whitelist based approach, leaving the dangerous tags Encoded HTML tags
    /// </summary>
    public static string Sanitize(string html)
    {
        Match tag;
        MatchCollection tags = _tags.Matches(html);

        // iterate through all HTML tags in the input
        for (int i = tags.Count - 1; i > -1; i--)
        {
            tag = tags[i];
            string tagname = tag.Value.ToLowerInvariant();

            if (_whitelist.IsMatch(tagname))
            {
                // If we find a tag on the whitelist, run it through 
                // HtmlDecode, and re-insert it into the text
                string safeHtml = HttpUtility.HtmlDecode(tag.Value);
                html = html.Remove(tag.Index, tag.Length);
                html = html.Insert(tag.Index, safeHtml);
            }
        }
        return html;
    }
}