Muss ich Attributwerte in MVC Razor kodieren?

Question

In einer Cshtml-Datei weise ich einem Attribut eine Zeichenfolge zu. Beispiel:

Da @ Model.Value Zeichenfolge ein beliebiges Unicode-Zeichen enthalten kann, muss die Zeichenfolge natürlich codiert sein. Will Razor diesen Wert automatisch kodieren? Ich vermute es wird nicht oder kann nicht, weil ich sofort eine @ Html.Raw schreiben konnte, um das Ganze in zwei Tags aufzuteilen.

Ich denke, was ich brauche, dies zu tun ist:

<input name="somename" value="@Html.Raw(Html.AttributeEncode(Model.Value))"> 

Ist das richtig?

Ebenso, wenn ich einen String-Wert in einem JavaScript-String in einem Skript Einbetten soll ich verwenden:

//I could use Ajax instead of HttpUtility here, but Ajax just wraps the same call. 
<script>$('id').data('key','@Html.Raw(HttpUtility.JavaScriptStringEncode(Model.Value))');</script> 

Answer 1

Razor kodiert sie automatisch, so dass Sie nicht brauchen.

Um genau zu sein ist es codiert mit HttpUtility Encode/Decode-Methoden und das passiert mit allem, was kein IHtmlString wie MvcHtmlString ist.

Codierung es wäre wieder redundant. Wenn Sie dieses Verhalten umgehen müssen, müssen Sie den Helper Html.Raw verwenden, was ein Sicherheitsrisiko darstellen kann, wenn der Benutzer den Modellwert eingibt, den Sie rendern.

Answer 2

Razor führt HTML-Codierung standardmäßig für Strings durch. Je nachdem, wo Ihre Zeichenfolge in den HTML-Stream eingefügt wird, ist dies möglicherweise die richtige zu verwendende Codierung. Wenn es nicht die richtige Kodierung ist, müssen Sie die korrekte Kodierung selbst durchführen und sicherstellen, dass Sie einen MvcHtmlString (d. H. Einen HTMLString) zurückgeben, um sicherzustellen, dass Razor Ihre benutzerdefinierte Kodierung alleine lässt.

Da Razor HTML-Codierung verwendet, die sich technisch von der HTML-Attributcodierung unterscheidet (eine Teilmenge), ist es nicht falsch, @ Html.Raw (Html.AttributeEncode (Model.Value)) für das HTML-Attribut encode zu verwenden. Zur gleichen Zeit ist es auch nicht notwendig, da die Standard-HTML-Codierung das gleiche Grundformat verwendet und am Ende nur ein paar Zeichen codiert, die sonst nicht in einem HTML-Attributwert codiert werden müssten.

Auf der anderen Seite, im letzten Fall, wo eine Zeichenfolge in die Anführungszeichen einer JavaScript-Zeichenfolge injiziert wird, wäre die HTML-Codierung absolut inkorrekt, so dass Sie unbedingt die Codierung selbst durchführen müssen, wie ich es tat: @ Html.Raw (HttpUtility.JavaScriptStringEncode (Modell.Wert)).