asp.net-mvc - 安全 Razor 模板引擎

Question

我是 asp.net mvc 3 新手，我正在开发一个网站，允许用户自定义他们的布局并使用 razor 模板引擎。他们可以直接编辑模板文件。

如何限制用户只允许在模板中使用一些显式帮助程序。我不希望用户访问其他危险的服务器功能，并且只使用我添加的内容。

谢谢

Answer 1

有两种情况:

1. 您信任您的用户:在这种情况下您不必担心，因为他们不会破坏您的网站
2. 您不信任您的用户(很有可能):在这种情况下，让他们直接修改模板似乎是一件冒险的事情。您将需要一个非常可靠的清理工具来过滤您不需要的所有其他助手。它太宽泛了。让他们有可能编写标记，例如一些所见即所得的编辑器，如 WMD 就可以了。但是让他们访问服务器代码是自找麻烦。