Проблема с кодировкой HTML в asp.net

Question

У меня есть буквальный элемент управления, используемый для отображения HTML, поступающего из БД.Я столкнулся с некоторыми проблемами XSS и реализовал Anti-XSS Security Runtime Engine (SRE) для автоматического кодирования всей HTML-разметки.например,

DB: <p align="center"></p>

Anti-XSS кодирует его как:

<p align="center"> </p&#62

Однако, когда я устанавливаю текстовое свойство буквального содержимого из кода позади, яожидал, что буквальный элемент управления ДЕКОДирует соответствующий HTML и отображает отрендеренную версию.Вместо этого он показывает версию ENCODED.

Таким образом, буквальный элемент управления отображает - <p align="center"></p> postrender.Я понимаю, что это Anti-xss в действии, но как я могу получить буквальный элемент управления, чтобы отображать отображаемый HTML вместо разметки?

ASPX - <asp:Literal ID="ltPageContent" runat="server"></asp:Literal>
Code behind on page load - ltPageContent.Text = getPageContent("home")'Gets HTML from DB

Я что-то упустил здесь?

Answer 1

Не принимая во внимание риски XSS, вы можете забыть LiteralControl здесь и использовать вместо него встроенные коды:

ASPX:

<%= Server.HtmlDecode(YOUR_STRING) %>

Answer 2

Вы также можете использовать свойство «Mode» со значением «PassThrough»:

<asp:Literal ID="ltPageContent" runat="server" Text="Html Here" 
             Mode="PassThrough" />

Я советую проверить XSS, прежде чем данные будут переданы сюда.