假如项目在前期没有过滤客户提交的字符，那么可以在输出的时候，对输出的字符进行过滤，防止出现XSS跨域攻击。
原理简单：利用ASP.NET API的管道原理，在MessageHandlers中添加一个自定义的处理环节。
好了，源代码如下：
public class MessageFilterOutputHandler : MessageHandler { protected override async Task OutgoingMessageAsync(HttpResponseMessage message) { var ps = await message.Content.ReadAsStringAsync(); ps = AntiXssEncoder.HtmlEncode(ps, false); message.Content = new StringContent(ps); } } public abstract class MessageHandler : DelegatingHandler { protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken) { var response = await base.SendAsync(request, cancellationToken); await OutgoingMessageAsync(response); return response; } protected abstract Task OutgoingMessageAsync(HttpResponseMessage message); }
其中，OutgoingMessageAsync方法中，利用了微软的AntiXss类库，防止输出：<script>,<iframe>等敏感字符。
另外，Global文件中，在Application_Start方法中添加，对MessageFilterOutputHandler的调用。
GlobalConfiguration.Configuration.MessageHandlers.Add(new MessageFilterOutputHandler());