.Net Core 项目中添加统一的XSS攻击防御过滤器

一、前言

最近公司内部在对系统的安全进行培训,刚好目前手里的一个.net core 项目中需要增加预防xss的攻击，本文将大概介绍下何为XSS攻击以及在项目中如何统一的预防XSS攻击.

二、XSS简介

XSS 攻击全称为跨站脚本攻击（ Cross-site Scripting ），XSS 是一种常见的 web 安全漏洞，它允许攻击者将恶意代码植入到提供给其他用户使用的页面中。XSS 一定是由用户的输入引起的，无论是提交表单、还是点击链接（参数）的方式，只要是输出的时候不做任何转义和过滤，就有可能出错。

—— 维基百科

XSS 通常分为反射型 XSS 、存储型 XSS 和 DOM based XSS，本文介绍的反射型 XSS ，主要做法是将 Javascript 代码加入 URL 地址的请求参数里，若 Web 应用程序存在漏洞，请求参数会在页面直接输出，用户点击类似的恶意链接就可能遭受攻击。攻击的整个流程如下图：

2.1 反射型XSS

反射型XSS，顾名思义在于“反射”这个一来一回的过程。反射型XSS的触发有后端的参与，而之所以触发XSS是因为后端解析用户在前