MVC ASPX(webForm)视图引擎 <%:%> 与<%=%>的差别

控制器

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;

namespace MvcApplication2.Controllers
{
    public class HomeController : Controller
    {
        //
        // GET: /Home/

        public ActionResult Index()
        {
            ViewData["Script"] = "<script>alert('Dome')</script>";
            return View();
        }

    }
}

视图

<%@ Page Language="C#" Inherits="System.Web.Mvc.ViewPage<dynamic>" %>

<!DOCTYPE html>

<html>
<head runat="server">
    <meta name="viewport" content="width=device-width" />
    <title>Index</title>
</head>
<body>
    <div>
        <!-- 假设用=号的话，就是原封不动的输出ViewData["Script"]中的代码，这样easy遭到跨站脚本的攻击，不够安全，所以这里是弹出一个对话框吗，对话框内容为Dome-->
        <%=ViewData["Script"] %>  

         <!--<%: %>相当于<%=Html.Encode(<script>alert('Dome')</script>) %> 推荐大家用冒号，这里输出的是<script>alert('Dome')</script>-->  
        <%:ViewData["Script"] %> 

        <!--假如说我如今就是想在前台页面输出一些Html标签，或一些代码，就想让它原封不动的去运行那段代码，比方说我如今就想给一个Div标签放到页面去，怎么办呢,下面三种方法都能够，并且不用=号更安全-->

        <%:Html.Raw("<div>我是div标签</div>") %>

        <%:new HtmlString("<p>我是p标签</p>") %>

        <%:new MvcHtmlString("<p>我也是p标签</p>") %>

       

    </div>
</body>
</html>



posted @ 2014-10-10 12:58  blfshiye  阅读(189)  评论(0)  编辑  收藏  举报