Function return string 被掃出 Reflected_XSS_All_Clients 問題

前言

我們有系統是從 DB 讀取資料放到 DataTable 之中，再透過 JsonConvert.SerializeObject 將字串傳出去，如下，

public string Post([FromBody] string value)
{
    var dt = new DataTable("dbInfo");
    dt.Columns.Add("c1", typeof(string));
    dt.Columns.Add("c2", typeof(string));
    dt.Rows.Add(new string[] { value, "c2-1" });
    dt.Rows.Add(new string[] { "c1-2", value });
    return JsonConvert.SerializeObject(dt);
}

解法

那就參考 ASP.NET MVC return JSON 被掃出 Reflected_XSS_All_Clients 問題這篇的設定方式，在 JsonConvert.SerializeObject 中，加入 JsonSerializerSettings 的設定值就可以了，如下，

public string Post([FromBody] string value)
{
    var dt = new DataTable("dbInfo");
    dt.Columns.Add("c1", typeof(string));
    dt.Columns.Add("c2", typeof(string));
    dt.Rows.Add(new string[] { value, "c2-1" });
    dt.Rows.Add(new string[] { "c1-2", value });
    var jsSettings = new JsonSerializerSettings()
    {
        DateTimeZoneHandling = DateTimeZoneHandling.Local,
        StringEscapeHandling = StringEscapeHandling.EscapeHtml
    };
    return JsonConvert.SerializeObject(dt, jsSettings);
}

參考資源

ASP.NET MVC return JSON 被掃出 Reflected_XSS_All_Clients 問題