html - 如何以及何时使用 Html 编码

Question

我最近了解到我不应该在数据库中存储 html 编码的数据，但我应该为用户在屏幕上显示的数据进行 html 编码。没什么大不了的，我必须修复我的数据库记录并进行一些代码更改。

但我的问题是，什么时候应该使用 html 编码，什么时候不应该。例如，在 html 表中，我直接从数据库写入列的内部 HTML。如果不进行编码，这将很危险，我明白了。

当设置文本框的值时呢？它似乎无需对值进行 html 编码即可工作。但我不确定为什么。这是文本框的样子:

<input type="textbox" value="xxx"/>

但是当将值设置为:"/><p style="font-size: 100px;">testing hack</p>html 源将是:

<input type="textbox" value=""/><p style="font-size: 100px;">testing hack</p>

虽然在查看时看起来不错，但 p-tag 没有按“hack”的预期工作。

有没有人明白我想要达到的目标:)？如果我确实尝试对我设置为文本框值的内容进行 html 编码，结果将显示“<”等，这不是我想要的。

简而言之:我是否应该只对设置为 html 控件的 innerHtml 的内容进行 html 编码，而不是在设置文本框等值时编码？

Answer 1

答案来自 jh 和我在问题评论中的讨论。我不确定将什么标记为答案，所以我决定回答我自己的问题。我希望没关系。

似乎在设置属性值(如文本框的“值”)时，.NET 会自动对值进行 html 编码，因此无需您自己执行此操作。

虽然在 HTML 内部设置 html 控件时，对值进行 html 编码很重要。

谢谢 Thejh，抱歉我不能投票给你写的任何东西。

编辑:我不能将此标记为另外 2 天的答案。