HTML编码和URL

Question

我有一个输入字符串，必须从HTML代码中去除，所以我使用默认的.Net函数.HtmlEncode（）来转义所有危险字符。

现在我试图通过正则表达式将输入字符串中的URL替换为HREF锚点。

问题是，当我在调用.HtmlEncode（）之前'链接'URL时，锚标记会丢失，这是合乎逻辑的。但是当我在调用.HtmlEncode（）之后进行链接时，某些url的格式不正确，因为它们包含危险字符？

这似乎是鸡鸡蛋的问题，应该怎么解决呢？

实施例：

输入字符串：

See http://example.com/q=1&x=2

预期结果：

See <a href="http://example.com/q=1&x=2">http://example.com/q=1&amp;x=2</a>

做的HTMLEncode第一，呼吁Linkify后：

See <a href="http://example.com/q=1&amp;x=2">http://example.com/q=1&amp;x=2</a>

做Linkify第一，呼吁的HTMLEncode后：

See <a href="http://example.com/q=1&x=2">http://example.com/q=1&x=2</a>

我目前使用的解决方案是在所有地方调用.HtmlDecode（）由正则表达式（linkify）发现的ches，但它不是100％万无一失的，因为一个有效的URL理论上可以包含像&这样的模式，它将被解码，但不应该。

Answer 1

这似乎是一个等待发生的跨站点脚本攻击。

Test link to google.

我见过的大多数方法其将用户输入到HTML标记使用某种形式的“保留”定做非HTML序列来实现这一点，例如，上面竟链接看起来是这样的堆栈溢出编辑器：

[Test link to google.][1]  

    [1]: http://www.google.com 

其他丰富的UI界面做类似的事情。它不是HTML，而是被解析并随后以HTML格式输出。 我不确定这种方法是否适用于您的情况，但这可能是值得的。除非你信任它们，否则你通常希望避免给予某人输入原始HTML到你的应用程序的能力（并且因为你的HtmlEncoding有一些，看起来你并不真正相信它们）。

Answer 2

你必须以不同的方式处理普通文本和链接。所以，首先拆分输入部分：

If you don't believe me that 1 < 2, see http://example.com/q=1&x=2 

成为一个集合有两个成员：

{ "If you don't believe me that 1 < 2, see ", "http://example.com/q=1&x=2" } 

您编码的第一个，做一个链接出第二个，与仅编码的文本链接：

{ 
    "If you don't believe me that 1 < 2, see ", 
    "<a href=\"http://example.com/q=1&x=2\">http://example.com/q=1&amp;x=2</a>" 
} 

然后您将结果加入最终结果。

但是，如果您使用了用于制作HTML的库，它可能会更好。根据您的需要，可以是Html Agility Pack或ASP.NET。

Answer 3

你不能用正则表达式替换。您需要通过urlencode和链接文本通过htmlencode运行href属性。