Liệu Bind() hoặc Eval() tự động HtmlEncode để bảo vệ chống lại XSS?

Question

Hãy tha thứ cho tôi nếu đây là một câu hỏi ngớ ngẩn. Tôi đã không thể tìm thấy câu trả lời được nêu rõ ràng.

tôi hiếm khi sử dụng Bind() hoặc Eval() trong trang aspx của tôi, và thay vào đó sử dụng cú pháp sau: (Giả sử đây là trong một ItemTemplate trong một điều khiển Repeater)

<asp:Label id="lblFirstName" runat="server" Text='<%# Microsoft.Security.Application.AntiXss.HtmlEncode(DataBinder.Eval(Container.DataItem, "FirstName").ToString()) %> 

Tôi bắt đầu làm một này thời gian dài trước đây và chỉ đơn giản là không bao giờ đặt câu hỏi đó, nhưng bây giờ nó xảy ra với tôi rằng điều này có thể là quá mức cần thiết. Và bây giờ tôi đang sử dụng một CMS sử dụng cú pháp này ở khắp mọi nơi:

<asp:Label id="lblFirstName" runat="server" Text='<%# Bind("FirstName") %> 

Vì vậy, tôi tự hỏi, về cơ bản, nếu tôi sử dụng Bind() hoặc Eval() không thời gian chạy tự động HtmlEncode đầu ra? Tôi đã làm mã hóa không cần thiết tất cả cùng?

Answer 1

Ràng buộc() và Eval() KHÔNG làm bất cứ điều gì để ngăn chặn loại điều đó và không mã hóa. Không làm các khối mã kiểu <%# %>.

Tuy nhiên, nếu bạn đang sử dụng ASP.NET 4 trở lên, bạn có thể sử dụng các khối <%: %> để xử lý tình huống này cho các kiểu ghi phản hồi và <%#: %> cho các tình huống liên kết dữ liệu.

Scott Guthrie có số lượng lớn post về điều này.