Я разрабатываю SPA, используя ASP.NET Core и ReactJS.
В некоторых местах приложения пользователи имеют возможность создавать комментарии, которые будут показаны всем.Поэтому у меня есть строковые входы в контроллерах, и я сохраняю данные «как есть» в базе данных.
Я добавил атрибут [Produces («application / json»)] для каждого контроллера - чтобы вернуть json как результат (Я не использую рендер на стороне сервера).
Мой вопрос: должен ли я дополнительно кодировать входные данные (перед сохранением в БД или перед отправкой пользователю) - или этот атрибут автоматически кодирует все строки (перед отправкой пользователю) и у меня не будет шанса использовать XSS-атаку в моем приложении?
Спасибо.