xss的一般防护措施（及CreateDefaultBuilder源码）

从上个礼拜开始，公司的安全小组就开始排查公司项目的安全性，首屈一指的就是xss问题，为此我总结了下我的经验。

1、对后台程序的输出数据做html编码处理，前端做简单的替换处理

2、如果业务需要，后台可以使用HtmlSanitizer第三方类库（该库直接依赖于.net standard，因此可在dotnet core下引入）来做白名单过滤，强烈推荐！富文本编辑器传到后台的数据会加上dom节点，同时是经过了html编码处理的，这点要注意、

CreateDefaultBuilder源码

public static IWebHostBuilder CreateDefaultBuilder(string[] args)

        {

            var builder = new WebHostBuilder()

                .UseKestrel()

                .UseContentRoot(Directory.GetCurrentDirectory())

                .ConfigureAppConfiguration((hostingContext, config) =>

                {

                    var env = hostingContext.HostingEnvironment;

                    config.AddJsonFile("appsettings.json", optional: true, reloadOnChange: true)

                          .AddJsonFile($"appsettings.{env.EnvironmentName}.json", optional: true, reloadOnChange: true);

                    if (env.IsDevelopment())

                    {

                        var appAssembly = Assembly.Load(new AssemblyName(env.ApplicationName));

                        if (appAssembly != null)

                        {

                            config.AddUserSecrets(appAssembly, optional: true);

                        }

                    }

                    config.AddEnvironmentVariables();

                    if (args != null)

                    {

                        config.AddCommandLine(args);

                    }

                })

                .ConfigureLogging((hostingContext, logging) =>

                {

                    logging.UseConfiguration(hostingContext.Configuration.GetSection("Logging"));

                    logging.AddConsole();

                    logging.AddDebug();

                })

                .UseIISIntegration()

                .UseDefaultServiceProvider((context, options) =>

                {

                    options.ValidateScopes = context.HostingEnvironment.IsDevelopment();

                })

                .ConfigureServices(services =>

                {

                    services.AddTransient<IConfigureOptions<KestrelServerOptions>, KestrelServerOptionsSetup>();

                });

            return builder;

        }