httputility.htmlencode() 是如何工作的？ [关闭]答案

【问题标题】：How does httputility.htmlencode() work? [closed]httputility.htmlencode() 是如何工作的？ [关闭]
【发布时间】：2017-08-23 23:47:43
【问题描述】：

我正在尝试实现 HttpUtility.HtmlEncode()。此方法将编码的字符串将用于呈现为 html。如果它被编码，那么它将如何正确呈现？在使用它渲染之前我需要再次解码它吗？在那种情况下，如果我们必须再次解码才能正确呈现它，那么编码的意义何在？

【问题讨论】：

【解决方案1】：

只有在您想要确保其不包含 HTML 元素的任意文本时才应该对其进行编码。 HtmlEncode 将使其呈现为文本，而不是 HTML。

如果您不想这样做，请不要编码或解码。

例如，您的应用程序的一位可爱用户将这个字符串放入文本字段中（假设您的框架没有为您阻止 XSS 注入）：

string s = "<script>alert('dangerous');</script>";

当它放在没有HtmlEncode 的页面上时，它会在浏览器对话框中向您显示警报（它为此执行Javascript）。如果您在其上调用HtmlEncode，它将呈现为文本。 Javascript 未执行。

<script>alert('dangerous');</script>

【讨论】：

因为当你编码它时，它就不再是HTML了。

我猜 OP 想要 html sanitizer 之类的东西，而不是完全编码整个 html 字符串。

@Evk 这是我的猜测。已经在寻找解决方案了。

@samirkumartripathy 例如见here。