C#过滤富文本编辑器html里的危险脚本

跨站脚本攻击（Cross-Site Scripting，简称 XSS）是一种常见的网络安全漏洞，攻击者通过在受信任的网站中注入恶意脚本，使这些脚本在用户的浏览器中执行。由于浏览器无法识别这些脚本的恶意性质，导致攻击者能够窃取用户的敏感信息，如 Cookie、会话令牌等，或在用户不知情的情况下执行未授权的操作。在处理富文本编辑器生成的 HTML 内容时，过滤掉潜在的危险脚本以防止跨站脚本攻击（XSS）至关重要。

以下是几种在 C# 中实现此功能的方法：

使用 HtmlSanitizer 库进行 HTML 清理

HtmlSanitizer 是一个专门用于净化 HTML 的开源库，能够移除恶意脚本和不安全的标签，同时保留安全的 HTML 内容。

示例代码：

using Ganss.XSS;

public string SanitizeHtml(string html)
{
    var sanitizer = new HtmlSanitizer();
    var sanitizedHtml = sanitizer.Sanitize(html);
    return sanitizedHtml;
}

上述代码中，HtmlSanitizer 对象会移除输入 HTML 中的所有不安全元素和属性，返回净化后的安全 HTML。

基于白名单策略自定义 HTML 过滤器

通过定义允许的标签和属性列表，仅保留安全的 HTML 内容，过滤掉其他所有内容。这种方法需要手动解析和处理 HTML。

示例代码：

using System;
using System.Text.RegularExpressions;

public string SanitizeHtmlWithWhitelist(string html)
{
    // 定义允许的标签和属性
    var allowedTags = new[] { "p", "b", "i", "u", "strong", "em" };
    var allowedAttributes = new[] { "href", "src", "alt", "title" };

    // 移除不在白名单中的标签
    string tagPattern = @"</?(?!(" + string.Join("|", allowedTags) + @")\b)[^>]*>";
    html = Regex.Replace(html, tagPattern, string.Empty, RegexOptions.IgnoreCase);

    // 移除不在白名单中的属性
    string attrPattern = @"\s+(?!(" + string.Join("|", allowedAttributes) + @")\b)\w+\s*=\s*[""'][^""']*[""']";
    html = Regex.Replace(html, attrPattern, string.Empty, RegexOptions.IgnoreCase);

    return html;
}

此方法通过正则表达式移除不在白名单中的标签和属性，但需要注意，正则表达式处理 HTML 可能存在局限性，复杂情况下建议使用专业的 HTML 解析库。

使用正则表达式去除所有 HTML 标签，仅保留纯文本

如果只需保留纯文本内容，可以使用正则表达式移除所有 HTML 标签。

示例代码：

using System.Text.RegularExpressions;

public string StripHtmlTags(string html)
{
    string textOnly = Regex.Replace(html, "<.*?>", string.Empty);
    return textOnly;
}

上述代码会移除所有 HTML 标签，仅保留文本内容。

注意事项

选择适合的方法：根据具体需求选择合适的过滤方法，例如，是否需要保留部分 HTML 格式，或仅需纯文本。
定期更新：如果使用第三方库，如 HtmlSanitizer，确保定期更新以获得最新的安全补丁和功能。
测试验证：在生产环境中使用前，务必对过滤效果进行充分测试，确保能够有效防止 XSS 攻击，同时满足业务需求。

通过上述方法，可以在 C# 应用程序中有效地过滤富文本编辑器生成的 HTML 内容，防止潜在的安全风险。