asp.net-mvc - 属性中的 AllowHtml 允许我的用户打破页面

Question

我使用 tinyMCE 允许用户对文本区域中的文本进行样式化。
我有财产

[AllowHtml] Description {get;set;}

一切正常。但是如果使用这样写：

<div>not closed tag

这打破了我的整个页面。如何预防这种情况？
我用它来显示文本：

@Html.Raw(Model.Description)

Answer 1

AllowHtml只允许发布某些特殊字符。这不会验证您的标记。

如果使用 AllowHtmlAttribute 特性标记属性，则 ASP.NET MVC 框架会在模型绑定期间跳过对该属性的验证

将用户生成的标记加载到页面上可能是一个安全问题。您的验证器会想要去除某些标签，例如script.许多网站使用 iframe 来显示用户生成的标记内容以避免此问题。