Tôi có cần mã hóa các giá trị thuộc tính trong MVC Razor không?

Question

Trong tệp cshtml, tôi chỉ định chuỗi cho thuộc tính. Ví dụ:

<input name="somename" value="@Model.Value"> 

Vì chuỗi Model.Value có thể chứa bất kỳ ký tự Unicode nào, rõ ràng chuỗi phải được mã hóa. Liệu Razor có tự động mã hóa giá trị này không? Tôi đoán nó sẽ không hoặc không thể vì tôi có thể dễ dàng đặt một @ Html.Raw ngay lập tức sau khi nó chia nhỏ toàn bộ điều thành hai thẻ.

Tôi nghĩ rằng những gì tôi cần phải làm điều này là:

<input name="somename" value="@Html.Raw(Html.AttributeEncode(Model.Value))"> 

Là đúng?

Tương tự như vậy, nếu tôi nhúng một giá trị chuỗi trong một chuỗi JavaScript trong một kịch bản, nên tôi sử dụng:

//I could use Ajax instead of HttpUtility here, but Ajax just wraps the same call. 
<script>$('id').data('key','@Html.Raw(HttpUtility.JavaScriptStringEncode(Model.Value))');</script> 

Answer 1

Razor tự động mã hóa nó, vì vậy bạn không cần phải.

Để cụ thể, nó được mã hóa bằng cách sử dụng các phương thức mã hóa/giải mã HttpUtility và điều này xảy ra với bất kỳ thứ gì không phải là IHtmlString chẳng hạn như MvcHtmlString.

Mã hóa lại lần nữa sẽ không cần thiết. Nếu bạn cần thoát khỏi hành vi này, bạn cần sử dụng trình trợ giúp Html.Raw, đây có thể là một nguy cơ bảo mật nếu người dùng nhập giá trị mô hình mà bạn đang hiển thị.

Answer 2

Dao cạo thực hiện mã hóa HTML trên chuỗi theo mặc định. Tùy thuộc vào nơi chuỗi của bạn đang được tiêm vào luồng HTML, điều này có thể hoặc không phải là mã hóa chính xác để sử dụng. Nếu nó không phải là mã hóa chính xác, sau đó bạn cần phải thực hiện mã hóa chính xác cho mình và chắc chắn để trở về một MvcHtmlString (tức là một IHtmlString) để đảm bảo Razor lá mã hóa tùy chỉnh của bạn một mình.

Vì dao cạo sử dụng mã hóa HTML, khác biệt về mặt kỹ thuật với mã hóa thuộc tính HTML (đó là tập con), không sử dụng @ Html.Raw (Html.AttributeEncode (Model.Value)) cho thuộc tính HTML mã hóa giá trị. Đồng thời, cũng không cần thiết vì mã hóa HTML mặc định sử dụng cùng một định dạng cơ bản và sẽ chỉ kết thúc mã hóa một vài ký tự nếu không sẽ không cần mã hóa trong giá trị thuộc tính HTML. Mặt khác, trong trường hợp cuối cùng khi một chuỗi được đưa vào dấu ngoặc kép của một chuỗi JavaScript, mã hóa HTML sẽ hoàn toàn không chính xác, vì vậy bạn chắc chắn cần phải tự thực hiện mã hóa như tôi đã làm: @ Html.Raw (HttpUtility.JavaScriptStringEncode (Model.Value)).