HtmlSanitizer项目中的HTML文档与片段净化差异解析

2025-07-10 12:34:55作者：袁立春Spencer

在HTML安全处理领域，HtmlSanitizer是一个广泛使用的.NET库，用于清除HTML中的潜在危险内容。然而在使用过程中，开发者可能会遇到一些看似不符合预期的行为，特别是在处理完整HTML文档和HTML片段时的差异。

问题现象

当开发者尝试使用HtmlSanitizer净化类似<BODY ONLOAD=alert('XSS')>这样的HTML内容时，可能会发现：

这种现象源于HtmlSanitizer内部处理机制的两个关键点：

文档解析层级差异：HtmlSanitizer默认的Sanitize方法设计用于处理HTML片段（body内的元素），而非完整HTML文档。当传入包含<body>标签的内容时，AngleSharp解析器会在HtmlSanitizer处理前就将其丢弃。
处理流程顺序：事件触发发生在实际的净化阶段，而标签被解析器提前移除的情况下，净化器根本没有机会处理这些标签，自然也不会触发相关事件。

对于需要处理完整HTML文档的场景，应该使用SanitizeDocument方法而非Sanitize方法：

var sanitizer = new HtmlSanitizer();
// 配置允许的标签和属性...
var sanitizedDoc = sanitizer.SanitizeDocument(htmlContent);

HTML片段处理：Sanitize方法适合处理如<div>...</div>这样的片段，它会将这些内容视为需要插入到现有文档body中的部分。
完整文档处理：SanitizeDocument方法会保留文档结构，包括html、head和body标签，适合处理从外部获取的完整网页内容。
安全验证策略：如果需要严格验证输入是否包含任何HTML标记，更好的做法是：
- 首先检查输入是否包含任何HTML标签特征
- 然后对确认包含HTML的内容进行净化处理
- 或者考虑使用白名单验证而非依赖净化器事件