本文详解如何在 xslt 转换中确保 xml 节点内容（包括属性值和文本节点）均被正确 html 实体转义，避免 xss 风险与 html 解析错误，重点介绍使用 xslt 3.0 + `method="xhtml"` 的跨平台解决方案。
在 .NET 原生 System.Xml.Xsl（XSLT 1.0）中， 对属性值（如 value=""{/Contact/Name}"" 或自定义 data-title）不执行 HTML 实体转义——它仅对文本节点（如
根本原因在于：XSLT 1.0 的 method="html" 遵循宽松的“HTML 兼容性”规则，将属性值视为“已信任的原始字符串”，而 method="xhtml"（XSLT 2.0/3.0）则严格遵循 XML 序列化规范，对所有文本内容（含属性值中的 AVT 表达式结果）统一执行 HTML 实体编码（如 → >, & → &）。
✅ 正确方案：升级至 XSLT 3.0 + method="xhtml"
需借助支持 XSLT 3.0 的处理器，如 Saxon（推荐）：
- .NET Framework：使用 Saxon .NET 10.8 HE（免费版）
- .NET 6/7/8（Core）：使用 SaxonCS 11/12（商业版）或通过 IKVM 跨编译的 Saxon HE 11.4 Java（免费）
以下为基于 Saxon HE 11.4（IKVM）的完整示例代码：
using net.sf.saxon.s9api;
using net.liberty_development.SaxonHE11s9apiExtensions;
using System.Reflection;
// 强制加载更新版 xmlresolver（Saxon HE 11.4 临时修复）
ikvm.runtime.Startup.addBootClassPathAssembly(Assembly.Load("org.xmlresolver.xmlresolver"));
ikvm.runtime.Startup.addBootClassPathAssembly(Assembly.Load("org.xmlresolver.xmlresolver_data"));
var processor = new Processor(false);
string xml = @"<Contact><Name>hello <script>alert('!')</script></Name></Contact>";
string xslt = @"
<xsl:stylesheet version='3.0' xmlns:xsl='http://www.w3.org/1999/XSL/Transform'>
<xsl:output method='xhtml' indent='yes' html-version='5.0'
doctype-system='about:legacy-compat' omit-xml-declaration='yes'/>
<xsl:template match='/'>
<span data-title='{ concat("{ 'title': '", /Contact/Name, "' }") }'>
Name: <xsl:value-of select='/Contact/Name'/>
Input: <input type='text' value='{/Contact/Name}'/>
</span>
</xsl:template>
</xsl:stylesheet>";
var compiler = processor.NewXsltCompiler();
var executable = compiler.Compile(xslt.AsSource()).Load30();
var inputDoc = processor.NewDocumentBuilder().Build(xml.AsSource());
using var resultWriter = new StringWriter();
executable.ApplyTemplates(inputDoc, processor.NewSerializer(resultWriter));
Console.WriteLine(resultWriter.ToString());? 关键配置说明：
立即学习“前端免费学习笔记（深入）”；
- html-version="5.0" + doctype-system="about:legacy-compat"：生成符合 HTML5 语义的文档头；
- 使用 concat() 构造 data-title 值（而非 {} AVT 模板），可更精准控制转义边界（AVT 在 Saxon 中默认也受 xhtml 模式保护）；
⚠️ 注意事项：
- 不要依赖 System.Xml.Xsl.XslCompiledTransform 实现此需求——其 XSLT 1.0 引擎无 xhtml 方法支持，且无法扩展转义逻辑；
- 若必须使用原生 .NET，可手动预处理 XML（如用 HttpUtility.HtmlEncode 封装值），但会丧失 XSLT 的声明式优势与可维护性；
- 所有用户可控输入（尤其是用于 value、data-*、title 等属性的内容）都应视为潜在攻击向量，务必通过 xhtml 输出方法或等效编码机制防护。
总结：安全生成 HTML 的核心是统一转义上下文。XSLT 3.0 的 method="xhtml" 提供了标准化、可靠且零配置的解决方案，是现代 Web 集成场景下的推荐实践。
