asp.net mvc razor html encoding
HTML Encoding
为了跨站点的脚本攻击,Razor 语法会直接将脚本代码编码输出。
@{
string message = "<script>alert('haacked!');</script>";
}
<span>@message</span>
输出:
<span><script>alert('haacked!');</script></span>
此条实际测试时(chrome版本 37.0.2062.120 m,IE11)均显示为: <span><script>alert('haacked!');</script></span>
如果需要原样输出 代码文本 需要使用 @Html.Raw():
@{
string message = "<strong>This is bold!</strong>";
}
<span>@Html.Raw(message)</span>
输出:
<span><strong>This is bold!</strong></span>
实际测试: 显示为:This is bold! 当作html标记执行了!!!
如果 message ="<script>alert('haacked!');</script>"; 那么
<span>@Html.Raw(message)</span> 会弹出一个 haacked! 对话框,执行js脚本!