AntiXSS - использование HtmlAttributeEncode

Question

Я пытаюсь выяснить контекст, в котором можно использовать HtmlAttributeEncode -

Я попробовал с простым "Привет!" Сценарий оповещения должен быть установлен как атрибут управления, поэтому я мог видеть HtmlAttributeEncode в действии - но не вижу, где я могу использовать HtmlAttributeEncode вместо HtmlEncode.

Так, например, у меня есть

- a textbox for user input 
  //txtuserInput.Text = <script>alert(document.cookie);</script>

- an anchor control to show user input being set as one of its attribute value 
  In codebehind tried with - 
     myanchorTag.InnerText = txtuserInput.Text
     or
     myanchorTag.Id = txtuserInput.Text

Но я не вижу работающего скрипта: - (
Я уже пробовал это для свойства TextBox.Text, но для этого я могу использовать HtmlEncode.

Может кто-нибудь, пожалуйста, руководство.

Спасибо!

Answer 1

Элемент управления asp: Textbox автоматически экранирует свойство .Text.См. http://blogs.msdn.com/cfs-file.ashx/__key/communityserver-components-postattachments/00-08-91-89-96/asp.net_5F00_control_5F00_encoding.htm

. Вы должны использовать HtmlAttributeEncode при использовании неэкранированных элементов управления и при создании необработанного HTML.