Wie schreibe ich unverschlüsselte Json zu meiner Ansicht mit Razor?

Question

Ich versuche, ein Objekt als JSON meiner Asp.Net MVC-Ansicht mit Razor, wie so zu schreiben:

ist

<script type="text/javascript"> 
    var potentialAttendees = @Json.Encode(Model.PotentialAttendees); 
</script> 

Das Problem, dass die JSON in der Ausgabe codiert ist, und mein Browser nicht mag ich. Zum Beispiel:

<script type="text/javascript"> 
    var potentialAttendees = [{&quot;Name&quot;:&quot;Samuel Jack&quot;},]; 
</script> 

Wie bekomme ich Razor uncodierten JSON zu emittieren?

Answer 1

Sie tun:

@Html.Raw(Json.Encode(Model.PotentialAttendees)) 

In Versionen früher als Beta 2 Sie haben es mag:

@(new HtmlString(Json.Encode(Model.PotentialAttendees))) 

Answer 2

Mit Newtonsoft

<script type="text/jscript"> 
    var potentialAttendees = @(Html.Raw(Newtonsoft.Json.JsonConvert.SerializeObject(Model.PotentialAttendees))) 
</script> 

Answer 3

Newtonsoft des JsonConvert.SerializeObject verhält sich nicht das gleiche wie Json.Encode und zu tun, was @ david-k-egghead vorschlägt, öffnet dich bis XSS-Angriffe.

Lassen Sie diesen Code in eine Razor-Ansicht fallen, um zu sehen, dass die Verwendung von Json.Encode sicher ist und dass Newtonsoft im JavaScript-Kontext sicher gemacht werden kann, aber nicht ohne zusätzliche Arbeit.

<script> 
    var jsonEncodePotentialAttendees = @Html.Raw(Json.Encode(
     new[] { new { Name = "Samuel Jack</script><script>alert('jsonEncodePotentialAttendees failed XSS test')</script>" } } 
    )); 
    alert('jsonEncodePotentialAttendees passed XSS test: ' + jsonEncodePotentialAttendees[0].Name); 
</script> 
<script> 
    var safeNewtonsoftPotentialAttendees = JSON.parse(@Html.Raw(HttpUtility.JavaScriptStringEncode(JsonConvert.SerializeObject(
     new[] { new { Name = "Samuel Jack</script><script>alert('safeNewtonsoftPotentialAttendees failed XSS test')</script>" } }), addDoubleQuotes: true))); 
    alert('safeNewtonsoftPotentialAttendees passed XSS test: ' + safeNewtonsoftPotentialAttendees[0].Name); 
</script> 
<script> 
    var unsafeNewtonsoftPotentialAttendees = @Html.Raw(JsonConvert.SerializeObject(
     new[] { new { Name = "Samuel Jack</script><script>alert('unsafeNewtonsoftPotentialAttendees failed XSS test')</script>" } })); 
    alert('unsafeNewtonsoftPotentialAttendees passed XSS test: ' + unsafeNewtonsoftPotentialAttendees[0].Name); 
</script> 

Siehe auch:

• Does the output of JsonConvert.SerializeObject need to be encoded in Razor view?
• XSS Prevention Rules