HTML呈現轉義字符

Question

我目前正在解決我的網站上一個主要的永久性XSS漏洞。要做到這一點，我呼籲：

this.Title = System.Security.SecurityElement.Escape(this.Title); 

在我服用的值，適當逃脫所有需要的字符轉義（<，>，&等）。當我去我的頁面顯示的其他地方這個標題我的問題出現了：

<p> @title </p> 

該款顯示器正是因爲它出現的字符串，如「& LT; & GT;等等」。

爲了解決這個問題，我注意到，如果我叫：

<p> @html.raw(title) </p> 

這些值是正確顯示頁面（<，>等）上。但我擔心這仍然會確保漏洞。將html正確呈現在頁面上的最佳方法是什麼？我做錯了什麼？或者我正確使用html.raw（）？

Answer 1

您希望獲取並存儲標題，然後在輸出中跳過標題。

查看關於例如的答案。 html/XSS escape on input vs output