首页 / HTML / VS2010与.NET4系列 19.ASP.NET4中新的HTML编码的语法

VS2010与.NET4系列 19.ASP.NET4中新的HTML编码的语法

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了VS2010与.NET4系列 19.ASP.NET4中新的HTML编码的语法，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含3054字，纯文字阅读大概需要5分钟。

内容图文

原文链接：http://www.cnblogs.com/netatomy/articles/new-lt-gt-syntax-for-html-encoding-output-in-asp-net-4-and-asp-net-mvc-2.html

今天介绍ASP.NET 4引入的新的语法特性——即在代码块中自动产生HTML编码输出的能力。这可以帮助保护应用程序和站点免受跨站点脚本（XSS）注入和HTML注入攻击，并使你能够使用简洁的语法来做到这一点。

HTML编码

跨站点脚本注入（XSS）和HTML编码攻击是两个最常见的折磨网站和应用程序的安全性问题。当黑客发现了一个可以把客户端脚本或HTML标记注入到页面的方法，随后其他访问者查看此页面时就会发生此类问题。这可能会被用于破坏网站，还可以让黑客能够运行客户端脚本代码盗取cookie数据并利用用户的身份在网站上做坏事。

一种避免跨站点脚本攻击的方法是确保呈现的输出在页面中都是 HTML 编码的。这就确保了任何被终端用户输入/修改的内容在输出回页面时都不会包含像<script>或<img>元素的标签。

过去如何对内容进行HTML编码

ASP.NET 应用程序（尤其是使用ASP.NET MVC）经常依赖于使用<%= %>代码块表达式来呈现输出。开发人员经常要在表达式中使用 Server.HtmlEncode() 或 HttpUtility.Encode() 辅助方法来对输出内容在呈现前进行 HTML 编码。例如像下面的代码：

VS2010与.NET4系列 19.ASP.NET4中新的HTML编码的语法 - 文章图片

尽管这样工作良好，但有两个不好的地方：

  1. 有些啰嗦
  2. 开发人员经常忘记调用 Server.HtmlEncode() 方法，还没有容易的检验它是否使用的方法

新的 <%: %>代码块语法

使用ASP.NET 4引入的新的代码表达式语法（<%: %>），可以呈现像 <%= %> 块的输出，但在输出前自动进行了 HTML 编码。这样就消除了像上面那样需要显式进行HTML编码内容的步骤。现在只要编写下面这样更简洁的代码来完成相同的任务了：

VS2010与.NET4系列 19.ASP.NET4中新的HTML编码的语法 - 文章图片

避免双重编码

尽管 HTML 编码内容是一个良好的最佳实践，但有时候输出的内容可能已经被编码过了——这时你不想再对其再次进行编码。

ASP.NET 4 引入了新的 IHtmlString 接口（和具体实现：HtmlString），它让你能够实现一种类型来表示它的值已经被恰当地编码了（或已经检查过了），可以作为 HTML 显示了，因此值不应当再次被 HTML 编码。<%: %>代码块语法会检测到 IHtmlString 的存在，如果值实现了这个接口就不会对代码表达式的输出进行 HTML 编码。这就避免了让开发人员选择使用 <%= %> 还是 <%: %>代码块。你可以始终使用 <%: %>代码块，并使用任何实现 IHtmlString 接口已经对值进行HTML编码的任何属性或数据类型。

对 <%: %> 使用 ASP.NET MVC 的 HTML 辅助方法

考虑下在ASP.NET MVC中使用 HTML 辅助方法的场景。这些辅助方法通常会返回 HTML。例如：Html.TextBox() 辅助方法返回像 <input type="text"/> 的标记。使用 ASP.NET MVC 2 这些辅助方法默认都返回 HtmlString 类型，这表示返回的字符串内容对呈现是安全的不应当再被 <%: %>块编码了。

可以在 <%= %> 代码块中使用这些方法：

VS2010与.NET4系列 19.ASP.NET4中新的HTML编码的语法 - 文章图片

也可以在 <%: %> 代码块中使用：

VS2010与.NET4系列 19.ASP.NET4中新的HTML编码的语法 - 文章图片

上面两种情况中，从辅助方法返回的内容都将作为 HTML 呈现到客户端，<%: %>代码块会避免双重编码。

支架支撑ASP.NET MVC2 视图

使用VS2010（或VWD2010 Express）构建 ASP.NET MVC 2 应用程序时，你会发现使用"Add Viw" 对话框支撑的视图现存默认都是使用 <%: %>块来输出任何内容了。例如，下面我们为 Article 对象搭建（scaffold）了一个简单的“编辑”视图。注意对标签、文本框和验证消息使用的 <%: %>代码块：

VS2010与.NET4系列 19.ASP.NET4中新的HTML编码的语法 - 文章图片

总结

新的 <%: %> 语法提供了自动化HTML 编码内容随后作为输出呈现的的简洁方法。它允许你让你的代码不那么啰嗦，让你的站点使用进行了 HTML 编码内容。这可以帮助保护你的应用程序防止跨站点注入（XSS）和HMTL注入攻击。

转载于:https://www.cnblogs.com/netatomy/articles/new-lt-gt-syntax-for-html-encoding-output-in-asp-net-4-and-asp-net-mvc-2.html

内容总结

以上是互联网集市为您收集整理的VS2010与.NET4系列 19.ASP.NET4中新的HTML编码的语法全部内容，希望文章能够帮你解决VS2010与.NET4系列 19.ASP.NET4中新的HTML编码的语法所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/739715.html

来源：【匿名】