ASP.net(C#) 被掃出 Stored XSS 詢問這段程式該如何修改

asp.net c#

fortify995 2021-10-20 09:05:42 ‧ 5313 瀏覽

分享至

DataList d1Function=null;
......
DataTable dtTemp=null;
try{
    switch(.....)
    {
     .....
     dtTemp=.....(這邊是呼叫預存程序去拿資料)
     .....
     d1Function.DataSource=dtTemp.DefaultView; //這段被掃出來想詢問一下這邊可以怎麼改，原本想說用Encoder.HtmlEncode() 但他是DataList所以不知道能怎麼改。
     d1Function.DataBind();
    }
}.....

<asp:DataList id="dlFunction" runat="server" RepeatColumns="2" Width="100%">
<ItemStyle BackColor="#F1F4FE" Width="50%"></ItemStyle>
<ItemTemplate>
<asp:CheckBox id="chkFunction" runat="server" style='<%# DataBinder.Eval(Container, "DataItem.FontColor","COLOR:{0};") %>' Text ='<%# DataBinder.Eval(Container, "DataItem.FunctionName") %>' Checked="false">
</asp:CheckBox>
</ItemTemplate>
</asp:DataList>

Text ='<%# DataBinder.Eval(Container, "DataItem.FunctionName") %>'
改成
Text ='<%# Microsoft.Security.Application.Encoder.HtmlEncode(DataBinder.Eval(Container, "DataItem.FunctionName").ToString()) %>'

改成這樣也是可以防止XSS沒錯吧如果再拿去掃弱點的話他會知道我前端有用Encoder嗎