在開發ASP.NET應用程序時，過濾輸入的HTML代碼是一項非常重要的安全措施。ASP.NET提供了一些內置的方法用于過濾HTML代碼，以防止惡意代碼襲擊和跨站腳本攻擊。

ASP.NET提供了兩種方法來過濾HTML代碼：白名單過濾和黑名單過濾。

白名單過濾指的是只允許一些特定的HTML標簽和屬性，過濾不在白名單范圍內的標簽和屬性。這種方法可以通過使用HTML Agility Pack或其他第三方庫來實現。

protected string SanitizeHtml(string html)
{
HtmlDocument doc = new HtmlDocument();
doc.LoadHtml(html);
var allowedTags = new[] { "p", "strong", "em", "u" }; //允許的標簽
var allowedAttrs = new[] { "href", "class", "style" }; //允許的屬性
foreach (var node in doc.DocumentNode.DescendantsAndSelf())
{
if (!allowedTags.Contains(node.Name))
{
node.Remove();
}
else
{
var attrsToRemove = node.Attributes.Where(attr =>!allowedAttrs.Contains(attr.Name)).ToList();
foreach (var attr in attrsToRemove)
{
node.Attributes.Remove(attr);
}
}
}
return doc.DocumentNode.WriteTo();
}

黑名單過濾指的是從輸入的HTML代碼中移除危險的標簽和屬性，例如<script>和<iframe>等。ASP.NET提供了一種簡單的方法，即使用Server.HtmlEncode方法來將HTML代碼中的敏感字符轉義為實體字符，例如:

string inputHtml = "<script>alert('XSS Attack!')</script>";
string safeHtml = Server.HtmlEncode(inputHtml);

這樣做可以原樣輸出HTML代碼，但會將敏感的字符轉義為實體字符，例如將'<'轉義為'&lt;'。

綜上所述，過濾HTML代碼是保證ASP.NET應用程序安全的重要步驟。使用白名單或黑名單兩種方法，可以有效地避免惡意代碼的攻擊和跨站腳本攻擊。