jquery - 防止 ASP.NET MVC 中的跨站点脚本编写 - 使用 jQuery 或标准 HtmlHelpers

Question

我正在构建一个 AJAX 驱动的 ASP.NET MVC 应用程序。由于某种原因，我需要在单击提交按钮时动态添加一些 DOM 元素。这是通过 jQuery.append() 完成的。

插入的一个元素是文本区域，在提交之前必须解析其数据，以确保不会进行跨站脚本编写。

我们知道 Html.Encode() 效果很好，但必须在脚本标记之外声明。我对 jQuery 所做的一切都嵌入在脚本标记中。

1) 有没有办法在脚本标签中利用 Html.Encode() ？

2) 我怎样才能用 jQuery 完成这个任务？

最坏的情况下我可以使用 HttpUtility.HtmlEncode()，它在服务器端调用。

感谢您的帮助。

罗兰

Answer 1

如果您试图防止跨站点脚本编写，无论如何您都应该在服务器上执行此操作，因为可以轻松绕过客户端验证。