Limpiar HTML de usuario en .net

Question

Mi sitio C# permite a los usuarios enviar HTML para mostrarse en el sitio. Me gustaría limitar las etiquetas y los atributos permitidos para el HTML, pero no puedo encontrar la manera de hacerlo en .net.

He intentado usar Html Agility Pack, pero no veo cómo modificar el HTML, puedo ver cómo ir a través del HTML y encontrar ciertos datos, pero en realidad generar un archivo de salida me desconcierta.

¿Alguien tiene un buen ejemplo para limpiar HTML en .net? El paquete de agilidad podría ser la respuesta, pero falta la documentación.

Answer 1

Con HtmlAgilityPack puede quitar las etiquetas no deseadas de la entrada:

node.ParentNode.RemoveChild(node); 

Answer 2

Solo debe aceptar HTML bien formado.

Puede usar LINQ to XML para analizar y modificarlo.

Puede realizar una función recursiva que toma un elemento del usuario y devuelve un nuevo elemento con un conjunto incluido en la lista de etiquetas y atributos.

Por ejemplo:

//Maps allowed tags to allowed attributes for the tags. 
static readonly Dictionary<string, string[]> AllowedTags = new Dictionary<string, string[]>(StringComparer.OrdinalIgnoreCase) { 
    { "b", new string[0] }, 
    { "img", new string[] { "src", "alt" } }, 
    //... 
}; 
static XElement CleanElement(XElement dirtyElement) { 
    return new XElement(dirtyElem.Name, 
     dirtyElement.Elements 
      .Where(e => AllowedTags.ContainsKey(e.Name)) 
      .Select<XElement, XElement>(CleanElement) 
      .Concat(
       dirtyElement.Attributes 
        .Where(a => AllowedTags[dirtyElem.Name].Contains(a.Name, StringComparer.OrdinalIgnoreCase)) 
      ); 
} 

Si permite que los hipervínculos, asegúrese de no permitir javascript: URLs; este código no hace eso.

Answer 3

Una herramienta que puede utilizar que está disponible fuera de SourceForge es SGMLReader que convierte el código HTML a XML con formato correcto y le permite leer como un XmlReader o cargarlo en un objeto XmlDocument para su posterior procesamiento. Lo he usado antes para analizar páginas web que no siempre están en formato HTML.

Answer 4

Recomiendo encarecidamente Microsoft's Anti-XSS Library para santizing de entrada. Es compatible con sanitizing html.

Answer 5

¿Has echado un vistazo a MarkdownSharp que es de código abierto y creado por los chicos aquí?

Answer 6

Jeff Atwood logró su enfoque basado en la lista blanca de Refactor Mi código en http://refactormycode.com/codes/333-sanitize-html

Creo Stackoverflow combina eso con el código de la etiqueta de equilibrio en http://refactormycode.com/codes/360-balance-html-tags para desinfectar mensajes y prepararlos para su visualización. Y, por supuesto, usan MarkdownSharp para habilitar Markdown en las publicaciones.