本文目录一览：
- 1、asp网站如何防止XSS攻击
- 2、如何避免XSS攻击和SQL注入
- 3、如何在浏览器启用XSS筛选器
- 4、用正则表达式不就可以让用户名不能包含一些字符了吗，为什么还要转义
- 5、正则 不包含 指定的字符串src='/xxx' 关于XSS攻击
asp网站如何防止XSS攻击
asp中防止xss攻击的方法如下：
确保所有输出内容都经过 HTML 编码。
禁止用户提供的文本进入任何 HTML 元素属性字符串。
根据 msdn.microsoft.com/library/3yekbd5b 中的概述，检查 Request.Browser，以阻止应用程序使用 Internet Explorer 6。
了解控件的行为以及其输出是否经过 HTML 编码。如果未经过 HTML 编码，则对进入控件的数据进行编码。
使用 Microsoft 防跨站点脚本库 (AntiXSS) 并将其设置为您的默认 HTML 编码器。
在将 HTML 数据保存到数据库之前，使用 AntiXSS Sanitizer 对象（该库是一个单独的下载文件，将在下文中介绍）调用 GetSafeHtml 或 GetSafeHtmlFragment；不要在保存数据之前对数据进行编码。
对于 Web 窗体，不要在网页中设置 EnableRequestValidation=false。遗憾的是，Web 上的大多数用户组文章都建议在出现错误时禁用该设置。该设置的存在是有原因的，例如，如果向服务器发送回“X”之类的字符组合，该设置将阻止请求。如果您的控件将 HTML 发送回服务器并收到图 5 所示的错误，那么理想情况下，您应该在将数据发布到服务器之前对数据进行编码。这是 WYSIWYG 控件的常见情形，现今的大多数版本都会在将其 HTML 数据发布回服务器之前对该数据进行正确编码。
对于 ASP.NET MVC 3 应用程序，当您需要将 HTML 发布回模型时，不要使用 ValidateInput(false) 来关闭请求验证。只需向模型属性中添加 [AllowHtml] 即可，如下所示：
public class BlogEntry
{
public int UserId {get;set;}
[AllowHtml]
public string BlogText {get;set;}
}
如何避免XSS攻击和SQL注入
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．
防护
归纳一下，主要有以下几点：
1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和
双"-"进行转换等。
2.永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
6.sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等。
如何在浏览器启用XSS筛选器
从IE8开始就有XSS筛选器，主要用于防御反射型跨站攻击，且是默认开启的。但由于它那暴力的检测方式(正则匹配)经常会影响到网站的正常业务功能，我想受此困扰的人一定不少，所以我建议大家都把它给关了。
如果是站长请使用X-XSS-Protection响应头关闭:
X-XSS-Protection: 0;
X-XSS-Protection 是用于控制IE的XSS筛选器用的HTTP 响应字段头。
如果你没有权利更改网站设置，那么你可以:
打开IE-菜单栏-安全-Internet-自定义级别-脚本-启用XSS筛选器-关闭-确定.
用正则表达式不就可以让用户名不能包含一些字符了吗，为什么还要转义
你只是对用户名进行分析而已，就用户名而已确实是不需要的。
转义最重要的是防止xss攻击和sql注入。
我先说xss，xss是指你本身没有一段js，但是在用户输入的时候给你加了css，如果你没转义，那么，这一段就变成js执行了，这就是xss。例子：
假设用户发布一片文章，，文章中夹带了这么一段scriptalert(document.cookie)/script;那么，在文章展示页，执行了这么一段的话就把cookie打印出来了。假设你cookie当中有用户名，那么用户就获取到了用户名，可能你觉得没什么，用户名不是什么敏感数据，但是，你数据中总有敏感的数据在里面可能被挖掘出来。
好，下一步：假设用户在console执行了这么一段js。document.cookie="username=sss' or 1 +’"，这是一个注入的sql，可能包含获取你的数据库信息。
那么你在执行数据库查询的是时候，
就有可能变成下面这个语句
select * from users where username =‘sss’ or 1 +‘‘ 。
你觉得这个执行的结果会是怎么样。这是你想要的结果么。这样有可能就获取到其他人的资料了。
这样就造成了sql注入
正则 不包含 指定的字符串src='/xxx' 关于XSS攻击
String src = "abcimg src='xxxx'";
Pattern scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\'(?!/)(.*?)\\\'",Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
String result = scriptPattern.matcher(src).replaceAll("");
System.out.println(result);