Asp.net Mvc中利用ValidationAttribute实现xss过滤

        在网站开发中,需要注意的一个问题就是防范XSS攻击,Asp.net mvc中已经自动为我们提供了这个功能。用户提交数据时时,在生成Action参数的过程中asp.net会对用户提交的数据进行验证,一旦发现提交的数据中包含了XSS攻击的代码,就会抛出异常,用户在这时候就会看到一个出错页面。这种默认的行为保证了网站的安全性,但是对于用户体验来说却不够友好,所以大多数人都希望对用户进行提示,或者对提交的数据进行过滤,移除掉XSS攻击的代码。

   对于此类问题,网上有很多人问过,通过百度搜索出来的解决方法好多都只提到了“关闭页面数据验证”。确实,关闭了页面数据验证后,用户提交的任何数据都会到达服务器端的处理程序,在asp.net mvc中这一点可以通过在model的相应属性上附加AllowHtmlAttribute或者在Action上附加ValidateInputAttribute(false)来实现。但是比关闭页面数据验证更重要的一点是,关闭之后,这个数据验证和处理的重担就要由程序员来承担了

         解决这个问题最直接的方法就是在每一个要处理提交数据的Action的开始,对相应的参数进行过滤,对于XSS攻击代码的过滤,可以使用微软发布的名为AntiXss的类库,通过Nuget可以获取该类库,在我的解决方法中也是使用此类库进行过滤的。

      我新建了一个Asp.net mvc项目进行演示,只有一个Controller名字为PersonController,一个Model,名字为PersonModel,PersonController中只有两个Action,全部代码如下。

public class PersonModel
{
     [AllowHtml]
     //别忘了AllowHtmlAttribute,要不然提交数据就报错了
      public string Name { get; set; }

     public int Age { get; set; }
}

public class PersonController : Controller
{
     public ActionResult Index()
     {
         return View();
     }

     public ActionResult Save(PersonModel model)
     {
         //Sanitizer为AntiXss类库提供的静态类,用于过滤XSS代码
          model.Name = Sanitizer.GetSafeHtmlFragment(model.Name);
         //保存到数据库中
          return Content("Success");
     }
}

视图文件Index.cshtml内容如下

@model AntiXss.Models.PersonModel
@{
    ViewBag.Title = "Index";
}

<h2>Index</h2>
@using (Html.BeginForm("Save","Person",FormMethod.Post))
{
    @Html.LabelFor(model=>model.Name);
    @Html.EditorFor(model=>model.Name);
    <br/>
    @Html.LabelFor(model=>model.Age)
    @Html.EditorFor(model=>model.Age)
    
    <input type="submit" value="submit"/>
}

        这样的代码无疑是可以达到我们过来XSS攻击的目的的,但是在实际项目中,Controller往往有数十个,Action的数目更是成百上千,而且ViewModel的属性又往往很多,如果我们按照上面的方式逐个Action的逐个Model的属性进行处理,代码会变得又臭又长,而且还容易遗漏。使用这种方式来进行过滤实在是一种自虐行为呀。

       优秀的程序员都是懒汉,对于这种繁琐的体力劳动,一定要想方设法地避免。在asp.net mvc中,给我们提供了很多工具以实现aop编程,最常用的就是各种Filter了,所以在解决此问题时,我就想是否可以利用asp.net mvc提供的aop编程来实现XSS过滤,经过思考和翻阅蒋金楠的《ASP.NET MVC4框架揭秘》,最终找到了一种较好的解决方式,就是通过ValidationAttribute来实现XSS攻击代码过滤。

      ValidationAttribute是所有验证属性的基类,RangeAttribute, RequiredAttribute, StringLengthAttribute都是它的子类,这个类的中包有一个名为IsValid的方法,来对数据进行验证,方法声明如下:

protected virtual ValidationResult IsValid(Object value, ValidationContext validationContext)

 

        参数value即为要验证的对象,参数ValidationContext为验证上下文,此类包含了较多的信息,比较重要的有属性ObjectInstance和MemberName

其中ValidationContext的ObjectInstance属性可获取要验证的对象,而MemberName可获取或设置要验证的成员名称。这里要进行一下解释,按照我上面的说法,value是要验证的对象,ValidationContext.ObjectInstance也是要验证的对象,难道它们二者是同一个对象么,答案是No,(不是我故意要把他们表达成一个意思,而是MSDN太坑,本段开头摘自MSDN),对于我们示例中的PersonModel类型来说,由于其是一个复杂类型,所以最终的验证会落到它的各个属性上,假如要验证属性Name,参数value即为属性Name的值,而ValidationContext.ObjectInstance则为一个PersonModel的实例,ValidationContext.MemberName的值按照MSDN的解释,应该是一个字符串“Name”;这下大家清楚二者的区别了吧。我之所以说假如要验证属性Name,是因为属性Name上现在还没有任何的验证特性(AllowHtmlAttribute不是一个验证特性)。

        到这里我想可能有的人已经想到我要怎么做了,在这里我获得了属性值value,也获得了包含该属性的实例ValidationContext.ObjectInstance,接下来我要做的就是将该属性值进行修改就可以了,修改属性值可以通过反射轻松实现,所以我的用于过滤XSS攻击代码的自定义验证属性就写出来了,如下

public class AntiXssAttribute :ValidationAttribute
    {
        protected override ValidationResult IsValid(object value, ValidationContext validationContext)
        {
            //对于XSS攻击,只需要对string类型进行验证就可以了
            var str = value as string;
            if (!string.IsNullOrWhiteSpace(str) && 
                validationContext.ObjectInstance != null && !
                string.IsNullOrWhiteSpace(validationContext.MemberName))
            {
                str = Sanitizer.GetSafeHtmlFragment(str);
                PropertyInfo pi = validationContext.ObjectType.GetProperty(validationContext.MemberName,
                    BindingFlags.Public | BindingFlags.Instance);
                pi.SetValue(validationContext.ObjectInstance,str);
            }
            //由于这个类的目的并不是为了验证,所以返回验证成功
            return ValidationResult.Success;
        }
}

       然后我们将这个自定义的验证特性附加到PersonModel的Name属性上(一定不要删除AllowHtmlAttribute,要不然提交包含html标签或者js代码的数据时会出错的),当用户提交数据时,asp.net在进行model验证时就会自动为我们过滤XSS攻击代码了,一切看起来都是那么的美好,可是事实并非如此!!

       当程序运行时,用户提交的XSS代码并没有被过滤,原因是ValidationContext.MemberName属性根本不存在,这实在是微软的一个坑,MSDN告诉我们通过这个属性可以获取或设置要验证的成员名称,可是其实自始至终根本没有代码来设置这个属性值,这个属性值一直都是null,所以要想让我们的代码顺利进行,我们要想办法给ValidationContext.MemberName赋值才可以,要给ValidationContext的这个属性赋值,自然要在实例化它的地方。对于ValidationContext对象的实例化,我在这里不赘述,因为这涉及到Asp.net mvc的模型验证机制,这一点蒋金楠的博文早就讲清楚了,而我也自认为不会讲的比他更清楚,想了解的人请阅读蒋金楠的博客ASP.NET MVC以ModelValidator为核心的Model验证体系: ModelValidator

ASP.NET MVC基于标注特性的Model验证:DataAnnotationsModelValidator

ASP.NET MVC基于标注特性的Model验证:DataAnnotationsModelValidatorProvider

        最终我实现了自己的AntiXssDataAnnotationsModelValidator和AntiXssDataAnnotationsModelValidatorProvider,在AntiXssDataAnnotationsModelValidator中实例化了ValidationContext对象,并且为该对象的MemberName属性赋值。

public class AntiXssDataAnnotationsModelValidator:DataAnnotationsModelValidator
 {
        public AntiXssDataAnnotationsModelValidator(ModelMetadata metadata,ControllerContext context,AntiXssAttribute attribute)
            :base(metadata,context,attribute)
        { }

        public override IEnumerable<ModelValidationResult> Validate(object container)
        {
            var validationContext = new ValidationContext(container ?? base.Metadata.Model, null, null);
            validationContext.DisplayName = base.Metadata.GetDisplayName();
            validationContext.MemberName = base.Metadata.PropertyName;
            ValidationResult validationResult = this.Attribute.GetValidationResult(base.Metadata.Model, validationContext);
            yield break;
        }
}

 public class AntiXssDataAnnotationsModelValidatorProvider : DataAnnotationsModelValidatorProvider
 {
        protected override IEnumerable<ModelValidator> GetValidators(ModelMetadata metadata, ControllerContext context, IEnumerable<Attribute> attributes)
        {
            foreach (var attribute in attributes.OfType<AntiXssAttribute>())
            {
                yield return new AntiXssDataAnnotationsModelValidator(metadata,context,attribute);
            }
        }
}

           然后记得在Global.asax中对这个AntiXssDataAnnotationsModelValidatorProvider 进行注册。

最后我又对AntiXssAttribute类进行了一点修改,为了在标记了该特性时不需要再额外地标记AllowHtmlAttribute:

public class AntiXssAttribute :ValidationAttribute, IMetadataAware{
        protected override ValidationResult IsValid(object value, ValidationContext validationContext)
        {
            //对于XSS攻击,只需要对string类型进行验证就可以了
            var str = value as string;
            if (!string.IsNullOrWhiteSpace(str) && 
                validationContext.ObjectInstance != null && !
                string.IsNullOrWhiteSpace(validationContext.MemberName))
            {
                str = Sanitizer.GetSafeHtmlFragment(str);
                PropertyInfo pi = validationContext.ObjectType.GetProperty(validationContext.MemberName,
                    BindingFlags.Public | BindingFlags.Instance);
                pi.SetValue(validationContext.ObjectInstance,str);
            }
            //由于这个类的目的并不是为了验证,所以返回验证成功
            return ValidationResult.Success;
        }

        public void OnMetadataCreated(ModelMetadata metadata)
        {
            //实际上AllowHtmlAttribute也是实现了接口IMetadataAware,在OnMetadataCreated
            //中使用了如下的代码
            metadata.RequestValidationEnabled = false;
        }
}

最后附上完整的代码http://files.cnblogs.com/onepiece_wang/AntiXss.zip

posted @ 2014-04-16 23:23 Lukexywang 阅读(...) 评论(...) 编辑 收藏