XSS 验证来自 JSON ajax 帖子的 MVC 操作

Question

有没有办法在 json 发布到 MVC 操作的情况下从 MVC 手动调用 XSS 检测，例如从过滤器调用 XSS 检测(例如来自 JQuery 的带有 json 内容的 $.ajax 帖子(？

我们使用的是 MVC 5，并且使用用于捕获 XSS("检测到潜在不安全输入"(的标准 MVC 机制没有问题，但该应用程序的一些部分使用$.ajax将 JSON("应用程序/json"内容类型(发布到 MVC 操作。在这些情况下，我们注意到 XSS 检测不会运行，并且允许危险的表单输入。

在我们对此处类似问题的调查和研究中，我们发现默认模型绑定器中的JsonValueProviderFactory对表单提交或查询字符串输入中存在的此 XSS 安全性的调用不同。

虽然在客户端清理输入很容易，但我们显然也需要服务器验证才能抛出 5xx(可能是我可以包装在过滤器中以便在可能受影响的操作之间共享的东西(以强制对具有默认模型绑定的 json 提交输入进行这种危险的代码检测(如果可能的话(，以避免重新发明轮子或将 html 编码的错误输入插入我们的数据库。

Answer 1

我找到了一个适合我情况的解决方案。在这种情况下，我们让 JQuery 使用$.ajax将 JSON 发布到 MVC 操作。默认模型绑定器不会验证已发布的 JSON，允许针对我们的操作发布不安全的 XSS。

为了解决这个问题，我发现RequestValidator有一个静态方法InvokeIsValidRequestString允许验证特定字符串来检测 XSS(因为到目前为止我找到的每个解决方案都在这里重新发明了轮子，并且确实拥有 XSS 检查白/黑名单(。然后，只需将操作限制为适当的场景，获取发布的 JSON，并在检测到 XSS 时抛出验证错误。

public class ValidateJsonXssAttribute : ActionFilterAttribute
{
public override void OnActionExecuting(ActionExecutingContext filterContext)
{
var request = filterContext.HttpContext?.Request;
if (request != null && "application/json".Equals(request.ContentType, StringComparison.OrdinalIgnoreCase))
{
if (request.ContentLength > 0 && request.Form.Count == 0) // 
{
if (request.InputStream.Position > 0)
request.InputStream.Position = 0; // InputStream has already been read once from "ProcessRequest"
using (var reader = new StreamReader(request.InputStream))
{
var postedContent = reader.ReadToEnd(); // Get posted JSON content
var isValid = RequestValidator.Current.InvokeIsValidRequestString(HttpContext.Current, postedContent,
RequestValidationSource.Form, "postedJson", out var failureIndex); // Invoke XSS validation
if (!isValid) // Not valid, so throw request validation exception
throw new HttpRequestValidationException("Potentially unsafe input detected");
}
}
}
}
}

然后，我可以装饰相关的 MVC 操作，期望 JSON 发布的数据可能会绕过标准的 XSS 预防：

[HttpPost]
[ValidateJsonXss]
public ActionResult PublishRecord(RecordViewModel vm) { ... }

我很幸运地偶然发现了OWASP .NET建议，其中建议扩展RequestValidator对象，该对象公开了MVC自动用于查询字符串，表单集合和cookie值的其他方案的ValidateInput完成的字符串验证。

更多信息： https://www.owasp.org/index.php/ASP.NET_Request_Validation

如果有人有其他建议，我很想看到其他方法。