MVC c＃阻止xss

Question

我的網站上有一個簡單的電子郵件表格，上面有mvc c＃。

如果我添加到文本框警報（“測試”），我得到以下異常：

A potentially dangerous Request.Form value was detected from the client (Message="<script>alert("test"...").

我不希望用戶能夠插入JavaScript。 我需要html編碼我會在這個領域做這個

 @Html.TextAreaFor(model => model.Message, new { @style = "width:800px;height:300px;" })

Answer 1

選項1：查看接受的答案： 從輸入字段讀取屬性時HTML編碼丟失

選項2：將[AllowHtml]屬性放在綁定到此文本框的模型項上，並將該值放入控制器，您可以在其中使用HtmlEncode。

選項3：在控制器操作上放置[ValidateInput（false）]屬性，無論如何都可以通過，然后您可以對所有內容進行自定義驗證

Answer 2

使用System.Web.HttpUtility.HtmlEncode對所有用戶輸入進行編碼，並避免使用XSS攻擊。