XSLT 中安全转义 XML 内容以生成合规 HTML

本文详解如何在 xslt 转换中确保 xml 节点内容（包括属性值和文本节点）均被正确 html 实体转义，避免 xss 风险与 html 解析错误，重点介绍使用 xslt 3.0 + `method="xhtml"` 的跨平台解决方案。

在 .NET 原生 System.Xml.Xsl（XSLT 1.0）中，

对属性值（如 value=""{/Contact/Name}"" 或自定义 data-title）不执行 HTML 实体转义——它仅对文本节点（如 输出）做基础转义。这导致恶意脚本片段（如 zuojiankuohaophpcnscriptyoujiankuohaophpcnalert('!')zuojiankuohaophpcn/scriptyoujiankuohaophpcn）在属性中被浏览器直接解析执行，引发严重安全漏洞与 DOM 结构破坏。

根本原因在于：XSLT 1.0 的 method="html" 遵循宽松的“HTML 兼容性”规则，将属性值视为“已信任的原始字符串”，而 method="xhtml"（XSLT 2.0/3.0）则严格遵循 XML 序列化规范，对所有文本内容（含属性值中的 AVT 表达式结果）统一执行 HTML 实体编码（如 → youjiankuohaophpcn, & → &）。

✅ 正确方案：升级至 XSLT 3.0 + method="xhtml"
需借助支持 XSLT 3.0 的处理器，如 Saxon（推荐）：

• .NET Framework：使用 Saxon .NET 10.8 HE（免费版）
• .NET 6/7/8（Core）：使用 SaxonCS 11/12（商业版）或通过 IKVM 跨编译的 Saxon HE 11.4 Java（免费）

以下为基于 Saxon HE 11.4（IKVM）的完整示例代码：

using net.sf.saxon.s9api;
using net.liberty_development.SaxonHE11s9apiExtensions;
using System.Reflection;

// 强制加载更新版 xmlresolver（Saxon HE 11.4 临时修复）
ikvm.runtime.Startup.addBootClassPathAssembly(Assembly.Load("org.xmlresolver.xmlresolver"));
ikvm.runtime.Startup.addBootClassPathAssembly(Assembly.Load("org.xmlresolver.xmlresolver_data"));

var processor = new Processor(false);

string xml = @"hello zuojiankuohaophpcnscriptyoujiankuohaophpcnalert('!')zuojiankuohaophpcn/scriptyoujiankuohaophpcn";
string xslt = @"

  
  
    
      Name: 
      Input: 
    
  
";

var compiler = processor.NewXsltCompiler();
var executable = compiler.Compile(xslt.AsSource()).Load30();
var inputDoc = processor.NewDocumentBuilder().Build(xml.AsSource());

using var resultWriter = new StringWriter();
executable.ApplyTemplates(inputDoc, processor.NewSerializer(resultWriter));

Console.WriteLine(resultWriter.ToString());

? 关键配置说明：

SeoShop

SeoShop网店系统全站纯静态html生成更符合搜索引擎优化，并修改了以前许多js代码，取消了连接地址的js代码更换为纯div+css格式，并且所有文件可自定义url和文件名，自定义内部连接，自定义外部连接，等多个符合SEO搜索引擎优化的设置，让您的网店更容易让搜索引擎收录. 简单易用 极速网店真正做到以人为本、以用户体验为中心，能使您快速搭建网上购物网站。后台管理操作简单，一目了然，没有夹杂多

下载

立即学习“前端免费学习笔记（深入）”；

• ：启用 XHTML 序列化器，强制所有字符串输出（含属性值）进行 HTML 实体转义；
• html-version="5.0" + doctype-system="about:legacy-compat"：生成符合 HTML5 语义的文档头；
• 使用 concat() 构造 data-title 值（而非 {} AVT 模板），可更精准控制转义边界（AVT 在 Saxon 中默认也受 xhtml 模式保护）；

⚠️ 注意事项：

• 不要依赖 System.Xml.Xsl.XslCompiledTransform 实现此需求——其 XSLT 1.0 引擎无 xhtml 方法支持，且无法扩展转义逻辑；
• 若必须使用原生 .NET，可手动预处理 XML（如用 HttpUtility.HtmlEncode 封装值），但会丧失 XSLT 的声明式优势与可维护性；
• 所有用户可控输入（尤其是用于 value、data-*、title 等属性的内容）都应视为潜在攻击向量，务必通过 xhtml 输出方法或等效编码机制防护。

总结：安全生成 HTML 的核心是统一转义上下文。XSLT 3.0 的 method="xhtml" 提供了标准化、可靠且零配置的解决方案，是现代 Web 集成场景下的推荐实践。