强化网站安全性：避免跨网站脚本攻击(XSS)

   　XSS攻击分为：“你的网站攻击别人的网站”或是“别人的网站攻击你的网站”两种。

　　在ASP.NET MVC里，这两种攻击情境都内建了相应的防护措施，要防止“你的网站攻击别人的网站”，可以使用Html.Encode、Url.Encode或Ajax.JavaScriptStringEncode辅助方法；

而防止“别人的网站攻击你的网站”则使用AntiForgeryToken辅助方法。

　　Html.Encode辅助方法无非就是进行Html编码；Url.Encode辅助方法无非就是进行Url编码；Ajax.JavaScriptStringEncode辅助方法就是Js字符串进行文字编码，确保输出的Js字符串

不会含有恶意XSS攻击字符串。

Ajax.JavaScriptStringEncode辅助方法例：

介绍AntiForgeryToken辅助方法：

视图代码

@using (Html.BeginForm()) {
    @Html.AntiForgeryToken()
    @Html.ValidationSummary(true)

    <fieldset>
        <legend>请输入您的账号、密码</legend>

        <div class="editor-label">
            @Html.LabelFor(model => model.email)
        </div>
        <div class="editor-field">
            @Html.TextBoxFor(model => model.email, new { data_val_email="请输入Email地址"})
            @Html.ValidationMessageFor(model => model.email)
        </div>

        <div class="editor-label">
            @Html.LabelFor(model => model.password)
        </div>
        <div class="editor-field">
            @Html.EditorFor(model => model.password)
            @Html.ValidationMessageFor(model => model.password)
        </div>

        <p>
            <input type="submit" value="登录" />
        </p>
    </fieldset>
}

 

注： AntiForgeryToken辅助方法，必须以Html.BeginForm声明才行，单纯HTML的<form>标签是不行的

C#代码

[HttpPost]
[ValidateAntiForgeryToken]
public ActionResult Login(MemberLoginViewModel login, string returnUrl)
{
    if (ValidateUser(login))
    {

        FormsAuthentication.SetAuthCookie(login.email, false);

        if (string.IsNullOrEmpty(returnUrl))
        {
            return RedirectToAction("Index", "Home");
        }
        else
        {
            return Redirect(returnUrl);
        }
    }

    ModelState.AddModelError("", "您输入的账号或密码错误");
    return View();
}