HTML-Codierung in MVC Eingang

Question

Ich arbeite durch NerdDinner und ich bin ein wenig verwirrt über folgenden Abschnitt ...

Zuerst haben sie ein Formular für die Schaffung ein neues Abendessen, mit einem Bündel von Textfeldern hinzugefügt delcared wie:

<%= Html.TextArea("Description") %>

Sie zeigen zwei Möglichkeiten, dann bilden Eingabe in das Modell zur Bindung:

[AcceptVerbs(HttpVerbs.Post)] 
public ActionResult Create() { 
    Dinner dinner = new Dinner(); 
    UpdateModel(dinner); 
    ... 
} 

oder:

[AcceptVerbs(HttpVerbs.Post)] 
public ActionResult Create(Dinner dinner) { ... } 

Ok, toll, das sieht bisher alles sehr einfach aus.

Dann etwas später auf sie sagen:

Es ist wichtig über Sicherheit immer paranoid, wenn jeder Benutzer Eingabe zu akzeptieren, und dies gilt auch, wenn Bindung Objekte Eingang zu bilden. Sie sollten immer HTML kodieren alle vom Benutzer eingegebenen Werte zu vermeiden HTML und JavaScript Injektion Angriffe

Huh vorsichtig sein? MVC verwaltet die Datenbindung für uns. Wo/wie soll man die HTML-Codierung machen?

Answer 1

Normalerweise (aber nicht immer) möchten Sie die Werte in HTML kodieren, bevor Sie sie schreiben, normalerweise in Ihren Ansichten, aber möglicherweise auch vom Controller.

Einige Informationen hier: http://weblogs.asp.net/scottgu/archive/2010/04/06/new-lt-gt-syntax-for-html-encoding-output-in-asp-net-4-and-asp-net-mvc-2.aspx