我应该在输入字段中对值进行 html 编码吗？

【问题标题】：Should I html encode values in an input field?我应该在输入字段中对值进行 html 编码吗？
【发布时间】：2009-01-09 15:27:58
【问题描述】：

我应该使用哪个？

<input type="hidden" name="first_name" 
value="<%= person.first_name %>" />

或

<input type="hidden" name="first_name" 
value="<%= Html.Encode( person.first_name ) %>" />

【问题讨论】：

【解决方案1】：

你应该 Html.Encode 否则字段中的 " 可能会导致注入问题

【讨论】：

【解决方案2】：

如果要为 HTML 元素设置默认值，则必须使用 character references 在值内编码 the HTML special characters。

【讨论】：