asp.net-mvc-2 - ASP.NET MVC 2 - AntiXSS 与内置 MVC 编码

Question

现在 MVC 已经通过以下方式引入了 HTML 编码

<%: blah %> 

还有使用值(value)吗

<%= AntiXSS.HTMLEncode(blah) %> 

反而？

例如:我的应用程序将获取所有内容(包括 JavaScript)并将其以原始状态存储在数据库中。我只是打算 输出 一切都使用类似 <%: model.Name %> 的东西并依靠MVC“东西”为我进行编码。

该方法是否足够安全以依赖于 AntiXSS，或者我是否需要明确使用 AntiXSS 库？如果我需要使用AntiXSS 库，请问为什么MVC 中没有内置这种东西？

Answer 1

我不认为有任何真正的区别，但如果你真的那么关心，你可以使用 AntiXss 库作为 asp.net 的默认编码器，如 this article 中所述。 .