跨站脚本攻击（Cross Site Scripting，简称XSS）是一种常见的网络安全问题，它允许攻击者将恶意脚本注入到其他用户使用的页面中。根据WhiteHat Security的统计，超过50%的网站都存在XSS漏洞。作为网站开发者，了解XSS攻击的原理和防护方法至关重要。
XSS攻击的本质是将客户端脚本注入到网站中。这些脚本可以是HTML脚本或JavaScript脚本。攻击者可以通过网站收集输入的各种方式注入脚本，例如：
在探讨ASP.NET如何防护XSS攻击之前，先来看一些XSS攻击的简单示例。ASP.NET框架提供了一些内置的安全机制来防止这类攻击，例如请求验证（RequestValidation）。但在本文中，将暂时禁用这些防护机制，以便观察XSS攻击的实际效果。
要禁用ASP.NET的请求验证，需要在页面指令中设置ValidateRequest="false"属性。如果需要在整个网站中禁用，可以在web.config文件的pages元素中进行设置。
<%@ Page Language="C#" AutoEventWireup="true" CodeFile="Default.aspx.cs" Inherits="_Default" ValidateRequest="false" %>
此外，还需要将httpRuntime的requestValidationMode设置为2.0。
<httpRuntime requestValidationMode="2.0" />
注意：禁用请求验证是为了测试XSS攻击，不推荐在生产环境中禁用，因为这会使网站面临XSS攻击的风险。
创建一个简单的Web表单，接受用户的查询字符串并在页面上显示。
protected void Page_Load(object sender, EventArgs e)
{
string id = Request.QueryString["id"] as string;
if (id == null)
{
lblId.Text = "NA";
}
else
{
lblId.Text = id;
}
}
正常情况下，这个功能可以正常工作。但如果用户在查询字符串中注入脚本，就会出现问题。例如，用户可以这样传递查询字符串参数：
Default.aspx?id=<h3>Hello from XSS</h3>
这样，用户就可以通过查询字符串传递任何HTML，这些HTML将在页面上渲染。这是一个非常基础的示例，但想象一下，如果HTML包含绝对定位的标签和图片，可能会完全覆盖原始页面并显示完全不同的内容。
创建一个简单的文本框，接受用户名，然后在页面上显示用户名和欢迎信息。
protected void Button1_Click(object sender, EventArgs e)
{
lblMessage.Text = "Hello " + TextBox1.Text;
}
在正常输入场景下，这个功能可以正常工作。但一旦尝试在文本框中注入HTML和JavaScript，问题就会出现。例如，可以通过以下输入在页面上放置一个图片：
<img src="dilbert-03.jpg" style="position:absolute;top:0;left:0;display:block" />
通过这种方式，攻击者可以轻易地在页面中注入客户端脚本。接下来，将探讨ASP.NET开发者如何防范这些攻击。
与其他技术相比，ASP.NET网站开发者有一些优势，因为ASP.NET框架内置了一些XSS防护逻辑，例如请求验证（RequestValidation）。在前面的示例中，禁用了这些防护机制以测试XSS攻击，但在实际开发中，不应该禁用这些内置的防护机制。
除了启用请求验证之外，开发者还应该遵循以下指南来防止XSS攻击：
可以通过JavaScript过滤器来限制用户输入。例如，可以在新的文本框上应用一些基于JavaScript的过滤器，以确保只接受字母数字字符。
<asp:TextBox ID="TextBox2" runat="server" onkeypress="return AcceptAlphaNumericOnly(event, false, false);"></asp:TextBox>
这样，用户就无法在文本框中输入任何不需要的字符。也应该在服务器端检查并删除不需要的字符，因为客户端脚本很容易被绕过。
可以添加一个类似的文本框，并为这个文本框添加编码用户输入的逻辑。
protected void Button3_Click(object sender, EventArgs e)
{
string rawInput = TextBox3.Text;
string encodedInput = Server.HtmlEncode(rawInput);
lblMessage3.Text = "Hello " + encodedInput;
}
如果尝试通过这个文本框注入内容，输出将是编码后的。如果数据来自外部或共享来源，也应该这样做。永远不应该信任不是创建的数据。