Microsoft.Security.Application.Encoder.HtmlEncode 阻止渲染单引号

Question

作为一项安全措施，我们使用 Microsoft.Security.Application.Encoder.HtmlEncode 方法来编码和呈现各种用户存储在我们数据库中的值。

我们希望允许用户使用单引号，但它们被编码为 & #39;

有谁知道允许呈现单引号但确保对输入的其余部分进行编码的安全方法？这只是编码发生后替换的情况吗？这种方法似乎有点hacky。

Answer 1

我弄清楚了。 Web 控件也在对输入数据进行编码，因此 html 编码发生了两次。