Блог

У меня есть строка ввода, которая должна быть удалена из HTML-кодов, поэтому я использую значение по умолчанию.Функция Net .HtmlEncode() для экранирования всех опасных символов.

Теперь я пытаюсь заменить URL-адреса во входной строке на привязки HREF с помощью регулярного выражения.

Проблема в том, что когда я «связываю» URL-адрес перед вызовом.HtmlEncode() теги привязки теряются, что логично. Но когда я делаю linkify ПОСЛЕ вызова.HtmlEncode (), некоторые URL-адреса искажаются, потому что они содержат опасные символы?

Похоже, проблема с куриным яйцом, как ее решить?

Пример:

Строка ввода:

See http://example.com/q=1amp;x=2

Ожидаемый результат:

See <a
href="http://example.com/q=1amp;x=2">http://example.com/q=1amp;amp;x=2</a>

Сначала выполняем HtmlEncode, после чего вызываем Linkify:

See <a
href="http://example.com/q=1amp;amp;x=2">http://example.com/q=1amp;amp;x=2</a>

Сначала делаем Linkify, после чего вызываем HtmlEncode:

See amp;<a
href=amp;quot;http://example.com/q=1amp;amp;x=2amp;quot;amp;>http://example.com/q=1amp;amp;x=2amp;</aamp;>

Решение, которое я использую в настоящее время, заключается в вызове.HtmlDecode() для всех совпадений, найденных регулярным выражением (linkify), но это не на 100% надежно, поскольку допустимый URL-адрес теоретически может содержать шаблон, подобный amp;amp; которому, который будет декодирован, но не должен.

Вы должны по-разному относиться к обычному тексту и ссылкам. Итак, сначала разделите входные данные на части:

 If you don't believe me that 1 < 2, see http://example.com/q=1amp;x=2
 

становится коллекцией с двумя членами:

 { "If you don't believe me that 1 < 2, see ", "http://example.com/q=1amp;x=2" }
 

Вы кодируете первый и создаете ссылку из второго, кодируя только текст ссылки:

 {
    "If you don't believe me that 1 amp;< 2, see ",
    "<a href="http://example.com/q=1amp;x=2">http://example.com/q=1amp;amp;x=2</a>"
}
 

Затем вы объединяете результаты в конечный результат.

Но, возможно, было бы лучше, если бы вы использовали библиотеку, созданную для создания HTML. Либо Html Agility Pack, либо ASP.NET , в зависимости от ваших потребностей.

Похоже, что атака с использованием межсайтового скриптинга ожидает своего часа.

Тестовая ссылка на Google.

Большинство подходов, которые я видел, которые преобразуют пользовательский ввод в HTML-разметку, используют для этого какую-то «зарезервированную» пользовательскую последовательность, отличную от HTML, например, ссылка выше на самом деле выглядит так в редакторе переполнения стека:

 [Test link to google.][1]    

  [1]: http://www.google.com
 

Другие богатые интерфейсы пользовательского интерфейса делают нечто подобное. Это не HTML, но он анализируется и позже выводится как HTML.
Я не уверен, что этот подход будет работать в вашем случае, но это может быть полезным. Обычно вы не хотите давать кому-либо возможность вводить необработанный HTML в ваше приложение, если вы им не доверяете (и поскольку ваш HtmlEncoding часть этого, похоже, что вы им не доверяете).

Вы не можете сделать это с помощью замены регулярных выражений. Вам нужно запустить атрибут href через urlencode, а текст ссылки — через htmlencode.