是否需要在 MVC 剃刀中对属性值进行编码？

Question

在cshtml文件中，我将字符串分配给属性。例如：

<input name="somename" value="@Model.Value">

自从@模特。值字符串可以包含任何Unicode字符，显然该字符串必须经过编码。Razor会自动编码这个值吗？我猜它不会或不能，因为我可以很容易地把一个@Html。Raw在它之后立即把整个事情分解成两个标记。

我想我需要做的是：

<input name="somename" value="@Html.Raw(Html.AttributeEncode(Model.Value))">

对吗？

同样，如果我在脚本的JavaScript字符串中嵌入字符串值，我应该使用：

//I could use Ajax instead of HttpUtility here, but Ajax just wraps the same call.
<script>$('id').data('key','@Html.Raw(HttpUtility.JavaScriptStringEncode(Model.Value))');</script>

Answer 1

Razor会自动对其进行编码，因此您无需这样做。

具体来说，它是使用HttpUtility Encode / Decode方法编码的，这种情况会发生在任何不是IHtmlString的对象上，比如MvcHtmlString。

再次对其进行编码是多余的。如果您需要逃避这种行为，您需要使用Html.Raw助手，如果用户输入您正在渲染的模型值，这可能是一个安全风险。

Answer 2

默认情况下，Razor对字符串执行HTML编码。根据字符串被注入HTML流的位置，这可能是要使用的正确编码，也可能不是。如果不是正确的编码，那么您需要自己执行正确的编码并确保返回MvcHtmlString（即IHtml字符串），以确保Razor不使用自定义编码。

由于Razor使用超文本标记语言编码，这在技术上不同于超文本标记语言属性编码（它是一个子集），因此使用@Html.Raw（Html.AttributeEncode（Model.Value））对超文本标记语言属性值进行编码并没有错。同时，这也没有必要，因为默认的超文本标记语言编码使用相同的基本格式，最终只会编码几个字符，否则这些字符不需要用超文本标记语言属性值编码。

另一方面，在最后一种情况下，一个字符串被注入到JavaScript字符串的引号中，HTML编码肯定是不正确的，所以您肯定需要像我一样自己执行编码:@Html。Raw(属性。JavaScriptStringEncode(模型。值))。