C# HTML 內容過濾與 XSS 防護：Regex 方案與最佳實踐

風險背景

使用者輸入的 HTML 若直接輸出，極易導致 XSS（跨站腳本攻擊）。必須移除或停用：<script>、事件屬性（onclick 等）、javascript: 協議、<iframe>、<frameset>、<img> 等標籤與屬性。

Regex 過濾實作（參考級）

using System.Text.RegularExpressions;

public static class HtmlSanitizer {
    private static readonly Regex[] _patterns = {
        //  (跨行、忽略大小寫)
        new Regex(@"", RegexOptions.IgnoreCase),
        // href="javascript:..." 或 href=javascript:...
        new Regex(@"href\s*=\s*[""']?\s*javascript\s*:", RegexOptions.IgnoreCase),
        // 所有 on* 事件屬性：onclick, onload, onerror...
        new Regex(@"\son\w+\s*=", RegexOptions.IgnoreCase),
        // 
        new Regex(@"", RegexOptions.IgnoreCase),
        // ...
        new Regex(@"", RegexOptions.IgnoreCase),
        //  (單標籤)
        new Regex(@"]*>", RegexOptions.IgnoreCase),
        // 
 和 
 可選擇保留或移除，此處示範移除
        new Regex(@"", RegexOptions.IgnoreCase)
    };

    private static readonly string[] _replacements = {
        "",           // script
        "href=\"#\"", // javascript: 連結改為錨點
        " data-disabled-event=", // 事件屬性前綴停用
        "",           // iframe
        "",           // frameset
        "",           // img
        ""            // p 標籤
    };

    public static string Sanitize(string html) {
        if (string.IsNullOrEmpty(html)) return html;
        for (int i = 0; i < _patterns.Length; i++) {
            html = _patterns[i].Replace(html, _replacements[i]);
        }
        return html;
    }
}

關鍵 Regex 解析

方案局限與進階建議