如何修复网页（基本 XSS）中与脚本相关的 HTML 标签的不当中和属性？

Question

最近我们运行网络应用程序上的 VeraCode。我们得到了 CWE80，网页中脚本相关 HTML 标签的不当中和（基本 XSS），在下面的行

reassignButton.Attributes.Add("ReassignRefId", HttpUtility.HtmlAttributeEncode(rfid));
statusButton.Attributes.Add("ReferrelId", HttpUtility.HtmlAttributeEncode(rfid));
statusButton.Attributes.Add("onclick", "MultipleReferralButtonClick('" + rfid + "')");

有人对如何解决这个问题有什么建议吗？

Answer 1

我使用 Microsoft.Security.Application.Encoder.HtmlAttributeEncode() 解决了它。看下面的代码..

reassignButton.Attributes.Add("ReassignRefId", Microsoft.Security.Application.Encoder.HtmlAttributeEncode(rfid));
statusButton.Attributes.Add("ReferrelId", Microsoft.Security.Application.Encoder.HtmlAttributeEncode(rfid));
statusButton.Attributes.Add("onclick", "MultipleReferralButtonClick('" + Microsoft.Security.Application.Encoder.HtmlAttributeEncode(rfid) + "')");

如何修复网页（基本 XSS）中与脚本相关的 HTML 标签的不当中和属性？

How to fix Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS) for Attributes?

veracode