Кодировать HTML перед отправкой в ​​контроллер / БД

Question

A potentially dangerous Request.Form value was detected from the client (Body="<b></b>").

Эта ошибка возникает, когда я пытаюсь ввести что-то вроде <b></b> в поле для комментариев и отправить его.Я искал, и единственное, что я нахожу, это отключить проверку опасных данных в целом, но я не хочу отключать ее с тех пор, как мой сайт будет уязвим.Я хочу закодировать его перед отправкой или что-то в этом духе, чтобы он отправлял только что закодированные данные.

Answer 1

Если вы используете .net 4, вы можете украсить свою модель с помощью [AllowHtml], который пропустит только это конкретное свойство.Затем вы можете очистить его в логике контроллера.

public class MyViewModel
{
    public string prop1 { get; set; }

    [AllowHtml]
    public string prop2 { get; set; }
}

Answer 2

Почему бы просто не использовать метод HttpUtility.HtmlEncode?

string encodedHTML = HttpUtility.HtmlEncode(unencodedString)

Вы также можете заглянуть в Microsoft Anti-XSS Library .

Answer 3

как насчет добавления события javascript к кнопке отправки, которая кодирует текстовые значения перед отправкой формы?

попробуйте encodeURI или encodeUriComponent