Jak przekonwertować ciąg HTML bezpieczny ciąg

Question

Tworzę jakąś dynamicznie wygenerowany kod HTML

bldr.AppendLine("<a>"); 
string userText = user.Company; 
bldr.AppendLine(userText); 
bldr.AppendLine("</a>"); 

Skąd mogę mieć pewność, że bez względu na nazwę firmy jest, pojawi się tak jak powinien, ale także jeśli starają się wstrzykiwać dowolny HTML w nazwie będzie po prostu wyświetlany w postaci zwykłego tekstu.

Na przykład, jeśli próbowano użyć nazwy "<script>alert("Do Bad!")</script>", to dokładnie to, co pojawi się na stronie, w postaci zwykłego tekstu.

Ale chcę też, aby uniknąć "A & C" przekłada się "a \ u0026 C", który jest, co się dzieje, gdy używam

HttpUtility.JavaScriptStringEncode(user.Company); 

Answer 1

można wykorzystywać tę samą klasę HttpUtility trzeba użyć do JavaScriptu, ale dla html, dla próbki:

bldr.AppendFormat("<a>{0}</a>\n", HttpUtility.HtmlEncode(user.Company)); 

Istnieje również odwrotny sposób korzystania HttpUtility.HtmlDecode(string).

Answer 2

Można użyć metody HttpUtility.HtmlEncode:

var htmlString = HttpUtility.HtmlEncode(user.Company); 

Answer 3

using System.Web; 

var encoded = HttpUtility.HtmlEncode(unencoded); 

Answer 4

HtmlUtility.HtmlEncode(string s)

Answer 5

Alternatywą bez uzależnienia do system.Web:

System.Net.WebUtility.HtmlEncode()