假如项目在前期没有过滤客户提交的字符，那么可以在输出的时候，对输出的字符进行过滤，防止出现XSS跨域攻击。

原理简单：利用ASP.NET API的管道原理，在MessageHandlers中添加一个自定义的处理环节。

好了，源代码如下：

public classMessageFilterOutputHandler : MessageHandler{protected override asyncTask OutgoingMessageAsync(HttpResponseMessage message){var ps = awaitmessage.Content.ReadAsStringAsync();ps= AntiXssEncoder.HtmlEncode(ps, false);message.Content= newStringContent(ps);}}public abstract classMessageHandler : DelegatingHandler{protected override async Task<HttpResponseMessage>SendAsync(HttpRequestMessage request, CancellationToken cancellationToken){var response = await base.SendAsync(request, cancellationToken);awaitOutgoingMessageAsync(response);returnresponse;}protected abstractTask OutgoingMessageAsync(HttpResponseMessage message);}

其中，OutgoingMessageAsync方法中，利用了微软的AntiXss类库，防止输出：<script>,<iframe>等敏感字符。

另外，Global文件中，在Application_Start方法中添加，对MessageFilterOutputHandler的调用。

GlobalConfiguration.Configuration.MessageHandlers.Add(new MessageFilterOutputHandler());

文章出处：www.cnblogs.com/jizhong