Должен ли я HTML кодировать значения в поле ввода?

Question

Что я должен использовать?

<input type="hidden" name="first_name" 
value="<%= person.first_name %>" />

или

<input type="hidden" name="first_name" 
value="<%= Html.Encode( person.first_name ) %>" />

Answer 1

Вы должны Html.Encode иначе "в поле" может привести к проблемам с инъекцией

Answer 2

Если вы хотите установить значение по умолчанию для элемента HTML, вам необходимо кодировать специальные символы HTML внутри значения, используя ссылки на символы .