asp.net-mvc-3 - 使用@Html.Raw 有风险吗？

Question

使用有风险@Html.Raw吗？在我看来不应该有。如果存在风险，那么无论@Html.Raw在 Chrome 等现代浏览器中使用是否允许编辑注入<script>malicious()</script>甚至将表单的发布操作更改为其他内容，这种风险都不会存在。

Answer 1

@Html.Raw将允许执行要显示的值上的任何脚本。如果你想防止你需要使用@Html.AttributeEncode

Answer 2

正确，风险在于它的使用方式。没有固有的风险Html.Raw。它是一个工具，仅此而已。

Answer 3

如果要显示用户输入的信息，最好使用@Html.Encode()。

换句话说，如果你是，displaying non-user eneterd data你可以安全地使用@Html.Raw()