Должен ли вызываться Html.Encode при создании ActionLinks в ASP.NET MVC

Question

Если имя ссылки выведено из базы данных, вы должны вызывать метод Html.Encode для очистки имени?

Например:

Html.ActionLink(Model.PersonFromDB.FirstName, 
       "Action", 
       "Controller", 
       new RouteValueDictionary { { "id", Model.PersonFromDB.Id } }, 
       null) 

или:

Html.ActionLink(Html.Encode(Model.PersonFromDB.FirstName), 
       "Action", 
       "Controller", 
       new RouteValueDictionary { { "id", Model.PersonFromDB.Id } }, 
       null) 

Это имело бы смысл, что вы хотели бы сделать это, чтобы убедиться, что нет никаких опасных строк вводили в страницу между <a> и </a> теги, но являются ли скрипты и такие исполняемые файлы между тегами привязки?

Answer 1

Нет, поскольку в соответствии с this thread on SOHtmlAction.Link() уже HTML кодирует значения, поэтому в итоге вы делаете это дважды.

Answer 2

Да, абсолютно. Как правило, для любого HTML, который вы собираетесь вывести, который был первоначально получен из ненадежного источника, если предположить, что формат уже не был HTML (и достаточно проверен), вы всегда должны кодировать HTML-код для защиты от инъекционных атак.

Answer 3

Это, безусловно, хорошая идея, но вы, вероятно, должны помешать пользователям входить в потенциально злонамеренные строки в качестве своего имени.