在剃刀視圖中發出未編碼的字符串

Question

正如ScottGu在其博客中所說的post«默認情況下，使用@塊發射的內容會自動進行HTML編碼以更好地防止XSS攻擊情況»。 我的問題是：如何輸出一個非HTML編碼的字符串？

爲了簡單起見，請堅持這個簡單的例子：

@{ 
var html = "<a href='#'>Click me</a>" 
// I want to emit the previous string as pure HTML code... 
} 

Answer 1

這是我最喜歡的辦法：

@Html.Raw("<p>my paragraph text</p>") 

來源是菲爾哈克的剃刀語法參考：http://haacked.com/archive/2011/01/06/razor-syntax-quick-reference.aspx

Answer 2

您可以創建MvcHtmlString的一個新實例，它不會得到HTML編碼。

@{ 
    var html = MvcHtmlString.Create("<a href='#'>Click me</a>") 
} 

希望Razor未來會有更簡單的方法。

如果你不使用MVC，你可以試試這個：

@{ 
    var html = new HtmlString("<a href='#'>Click me</a>") 
} 

Answer 3

新HtmlString是絕對的答案。我們研究了一些其他的剃刀語法變化，但最終沒有一個變得比新的HtmlString短。

然而，我們可能會把它包裝到幫手中。也許......

@Html.Literal("<p>something</p>") 

或

@"<p>something</p>".AsHtml() 

Answer 4

轉變我們的項目到新的Razor視圖引擎時，我遇到了這個問題爲好。我採用的方法稍有不同，因爲我們必須從C＃生成JSON數據，並希望在加載頁面時輸出它。

我最終做的是在cshtml文件中實現一個與View並行的RawView。從本質上講，要獲得一個原始字符串，

@(new HtmlString(View.Foo)) 

// became 
@RawView.Foo 

這需要對項目佈局的一些變化，所以我就寫了一個博客帖子大約是here。總之，這需要MVC的DynamicViewDataDictionary的重複實現和一個包含RawView的新WebViewPage。我也說幹就幹，實現索引操作上RawView允許

@RawView["Foo"] 

在關閉的機會，有人需要遍歷所有的數據和密鑰列表。

閱讀anurse的評論，如果我將它命名爲Literal而不是RawView，它可能會更好。