将动态 JSON 发送到 DotNet 核心控制器操作，没有 XSS 漏洞-解网

问：

我正在将 json 作为字符串发送到 PUT 请求正文中的控制器操作。

我们的安全扫描程序已正确识别出此漏洞为 XSS 漏洞，我们可以很容易地重现此问题。

我正在尝试将提供给操作的参数验证为有效的 JSON，但我遇到了一些麻烦。我不愿意手动编写这样的东西，这在许多应用程序中很常见。

有一个 .Net 库 AntiXss，但由于我使用的是 .Net 核心，因此不可用。我还查看了几个 nuget 包，但它们似乎都包装了这个库。

提前感谢您的任何建议

角度 .net-core xss

using Microsoft.AspNetCore.Mvc;
using Newtonsoft.Json;
using Newtonsoft.Json.Schema;

public class MyController : Controller
{
    [HttpPut]
    public IActionResult MyAction([FromBody] string json)
    {
        // Get the JSON schema.
        var jsonSchema = @"{
            '$schema': 'http://json-schema.org/draft-07/schema#',
            'type': 'object',
            'properties': {
                'name': {
                    'type': 'string'
                },
                'age': {
                    'type': 'integer'
                }
            },
            'required': ['name', 'age']
        }";

        // Create a JSON schema reader.
        var schemaReader = new JsonSchemaReader();
        var schema = schemaReader.ReadSchema(new JsonTextReader(new StringReader(jsonSchema)));

        // Create a JSON validating reader.
        var validatingReader = new JsonValidatingReader(new JsonTextReader(new StringReader(json)));
        validatingReader.Schema = schema;

        // Read the JSON.
        try
        {
            while (validatingReader.Read())
            {
                // ...
            }
        }
        catch (JsonReaderException e)
        {
            return BadRequest("Invalid JSON.");
        }

        // The JSON is valid.
        // ...
    }
}

将动态 JSON 发送到 DotNet 核心控制器操作，没有 XSS 漏洞

Send Dynamic JSON to DotNet Core Controller Action without XSS Vulnerability

评论

评论