Devo codificare i valori degli attributi in Rasoio MVC?

Question

In un file cshtml, sto assegnando una stringa a un attributo. Ad esempio:

<input name="somename" value="@Model.Value"> 

Da @ Model.Value stringa può contenere qualsiasi carattere Unicode, ovviamente la stringa deve essere codificata. Will Razor codificherà questo valore automaticamente? Immagino che non lo farò o meno perché potrei facilmente mettere un @ Html.Raw subito dopo per suddividere l'intera cosa in due tag.

Penso che quello che ho bisogno di fare è questo:

<input name="somename" value="@Html.Raw(Html.AttributeEncode(Model.Value))"> 

E 'corretto?

Allo stesso modo, se sto incorporando un valore di stringa in una stringa JavaScript in uno script, devo usare:

//I could use Ajax instead of HttpUtility here, but Ajax just wraps the same call. 
<script>$('id').data('key','@Html.Raw(HttpUtility.JavaScriptStringEncode(Model.Value))');</script> 

Answer 1

Razor codifica automaticamente, in modo da non avete bisogno di.

Per essere specifici, viene codificato utilizzando i metodi HttpUtility Encode/Decode e questo succede a qualsiasi cosa che non sia un IHtmlString come MvcHtmlString.

La codifica di nuovo sarebbe ridondante. Se è necessario sfuggire a questo comportamento, è necessario utilizzare l'helper Html.Raw, che può rappresentare un rischio per la sicurezza se l'utente immette il valore del modello che si sta visualizzando.

Answer 2

Il rasoio esegue la codifica HTML sulle stringhe per impostazione predefinita. A seconda di dove viene inserita la stringa nello stream HTML, questa potrebbe essere o meno la codifica corretta da utilizzare. Se non è la codifica corretta, è necessario eseguire personalmente la codifica corretta e assicurarsi di restituire un MvcHtmlString (ad esempio un IHtmlString) per garantire che Razor lasci da solo la codifica personalizzata.

Poiché Razor utilizza la codifica HTML, che è tecnicamente diversa dalla codifica dell'attributo HTML (è un sottoinsieme), non è sbagliato utilizzare @ Html.Raw (Html.AttributeEncode (Model.Value)) all'attributo HTML codificare il valore. Allo stesso tempo, non è nemmeno necessario, poiché la codifica HTML predefinita utilizza lo stesso formato di base e finirà per codificare un carattere di coppia che altrimenti non avrebbe bisogno di essere codificato in un valore di attributo HTML.

D'altra parte, nel caso finale in cui una stringa viene iniettata nelle virgolette di una stringa JavaScript, la codifica HTML sarebbe assolutamente errata, quindi è necessario eseguire la codifica autonomamente come ho fatto io: @ Html.Raw (HttpUtility.JavaScriptStringEncode (Model.Value)).