asp.net-mvc - 如何以安全的方式呈现单引号

Question

我在教程视频中看到，我们应该在我们的 View 中使用 Html.Encode 来防止恶意注入(inject)。但是，当我编码的文本包含 ' 字符(例如 Dog's)时，浏览器中的输出是 Dog#39;s。我原以为每个潜在的危险字符都会被重新映射为浏览器可以正确呈现的一些安全代码。不是这样吗？我怎样才能让 ' 以 HTML 安全的方式显示在浏览器中？

Answer 1

Razor 中的 @ 会自动为您编码，这意味着您可能进行了双重编码。示例:

@Html.Encode("This is \"safe\"")

或多或少与

相同

@{Response.Write(Html.Encode(Html.Encode("This is \"safe\"")));}

但不知道最后一个是否适用于 Razor。