在 Razor 视图中发出未编码的字符串

Question

正如 ScottGu 在他的博客帖子中所说的那样 «by使用@块发出的默认内容会自动进行HTML编码，以更好地防止XSS攻击场景»。 我的问题是：如何输出非 HTML 编码的字符串？

为了简单起见，请坚持这个简单的情况：

@{
 var html = "<a href='#'>Click me</a>"
 // I want to emit the previous string as pure HTML code...
}

Answer 1

这是我最喜欢的方法：

@Html.Raw("<p>my paragraph text</p>")

来源是 Phil Haack 的 Razor 语法参考：http://haacked.com/archive/2011/01/06/razor-syntax-quick-reference.aspx

Answer 2

您可以创建一个不会进行 HTML 编码的 MvcHtmlString 的新实例。

@{
  var html = MvcHtmlString.Create("<a href='#'>Click me</a>")
}

希望 Razor 的未来能有一种更简单的方法。

如果您没有使用 MVC，您可以尝试以下操作：

@{
  var html = new HtmlString("<a href='#'>Click me</a>")
}

Answer 3

new HtmlString 绝对是答案。

我们研究了其他一些 razor 语法更改，但最终没有一个真正比新的 HtmlString 更短。

然而，我们可以将其包装到一个助手中。可能...

@Html.Literal("<p>something</p>")

或者

@"<p>something</p>".AsHtml()

Answer 4

我在 Mono 下使用 ASP.NET MVC 和 Razor。

由于某些原因，我无法从 System.Web.Mvc 的 System.Web.WebPages 获取 HtmlHelper。

但在将模型的属性声明为 RazorEngine.Text.RawString 后，我设法输出未编码的字符串。现在它按预期输出。

示例

@{
    var txt = new RawString("some text with \"quotes\"");
    var txt2 = "some text with \"quotes\"";
}
<div>Here is unencoded text: @txt</div>
<div>Here is encoded text: @txt2</div>

输出：

<div>Here is unencoded text: some text with "quotes"</div>
<div>Here is encoded text: some text with "quotes"</div>

Answer 5

在将我们的项目转换到新的 Razor 视图引擎时，我也遇到了这个问题。我采取的方法略有不同，因为我们必须从 C# 生成 JSON 数据，并希望在页面加载时输出它。

我最终所做的是实现一个 RawView，它与 cshtml 文件内的 View 并行。本质上，要获取原始字符串，

@(new HtmlString(View.Foo))

// became
@RawView.Foo

这需要对项目布局进行一些更改，所以我刚刚写了一篇关于它的博客文章 此处。简而言之，这需要 MVC 的 DynamicViewDataDictionary 的重复实现和包含 RawView 的新 WebViewPage。我还继续在 RawView 上实现了索引运算符，以允许

@RawView["Foo"]

在有人需要使用键列表循环数据的情况下。

阅读护士的评论，如果我将其命名为 Literal 而不是 RawView 可能会更好。