处理XSS的方式（最佳实践）是什么？

Question

我正在使用ASP.NET，并且在ASP.NET页面上有validate属性，用于检查XSS验证。但是我想知道这真的足够了吗？

我已经访问了一些有关stackoverflow的相关帖子，这对我有所帮助，但我希望了解如何在开发网站时规划XSS？

我们是否必须在客户端检查XSS，AJAX也是？怎么做 ？有没有可以帮助测试XSS的工具？

谢谢，

Answer 1

这些是基础知识：

• 不允许HTML输入
• 显示时始终使用html编码输入
• 使用Microsoft的AntiXSSLibrary或类似的库

Answer 2

查看：Allowing HTML and Preventing XSS @ shiflett.org