asp.net防注入的两个自定义函数

最新推荐文章于 2020-06-09 18:20:56 发布

转载最新推荐文章于 2020-06-09 18:20:56 发布 · 1.1k 阅读

文章标签：

#asp.net #string #html #null

ASP.NET 同时被 2 个专栏收录

124 篇文章

订阅专栏

网络安全－注入专题

61 篇文章

订阅专栏

本文介绍了两种实用的字符串处理方法：一种是验证输入字符串是否全部由数字组成；另一种是将可能包含HTML标签的字符串转换成安全的形式，避免XSS攻击。这两种方法在实际开发中非常有用，尤其是在需要对用户输入进行验证或转义的场景下。

一.如果参数全为数字:

// 检查字符串是否全为数字
public static bool IsNum(string Str)
{
bool blResult = true;
if (Str == "")
   blResult = false;
else
{
   foreach (char Char in Str)
   {
      if (!Char.IsNumber(Char))
      {
            blResult = false;
            break;
      }
   }
   if (blResult)
      if (int.Parse(Str) == 0)
            blResult = false;
}
return blResult;
}

应用:

string Topicid = Request.QueryString["Topicid"];
if (!IsNum(Topicid))
Server.Transfer("Error.aspx?ErrID=404");

二.如果参数为文本.

// Html转换
public static string htmlstr(string chr)
{
if(chr==null)
   return "";
chr=chr.Replace("<","&lt");
chr=chr.Replace(">","&gt");
chr=chr.Replace("/n","<br>");
chr=chr.Replace("/"",""");
chr=chr.Replace("'","'");
chr=chr.Replace(" "," ");
chr=chr.Replace("/r","");
return(chr);
}

应用:string strClass = htmlstr(Request.QueryString["ClassName"]);