모든 특수 문자 허용 및 SQL 삽입/XSS 방지

Question

SQL Azure를 사용하여 EF 4.1과 함께 Asp.NET MVC 3을 사용하고 있습니다. 나는 linq 식과 저장 프로 시저를 둘 다 가지고있다.

지금은 "';&<>/ 등의 모든 특수 문자를 입력하고 데이터베이스에 저장해야합니다. 그러나 렌더링 될 때 HTML로 렌더링해서는 안됩니다 (즉, 텍스트로 렌더링되어야 함). SQL injection 및 XSS 공격을 방지하려면 어떻게합니까?

@Html.TextBoxFor 또는 @Html.EditorFor 또는 레이블에 표시 할 때 우려되는 점은 무엇입니까? 입력 한 문자 유형에 대해 타협하고 싶지 않습니다. 이 방법에 대해 제안 하시겠습니까?

Answer 1

SQL 주입을 방지하려면 항상 준비된 문을 사용해야합니다. 이렇게하면 작은 따옴표 (')와 같은 메타 문자를 삽입 할 수 있습니다. 가장 좋은 방법은 예상치 못한 것을 거부하는 것이지만 대부분의 키보드 문자를 포함하도록 정의한 것처럼 들립니다. 그래도 상위 비트 ASCII 및 제어 코드는 거부 할 수 있습니다.

XSS의 경우 사용자가 사용하는 소스가 HTML 사용 위치에 관계없이 HTML로 엔티티 인코딩해야합니다. 사용자에게 전송되기 바로 전에 인코딩을 수행하면 (출력 유효성 검사) 사용자가 이중 인코딩을 보지 않아도됩니다.