ASP.NET MVC3，Html.TextAreaFor 没有编码？

Question

如何在不编码的情况下使用 Html.TextAreaFor？ 我知道这是一个安全风险，但我有一个单独的类可以清理任何文本。

示例：

@Html.TextAreaFor(model =>model.PostBodyText, 10, 100, 1)

我计划将其与 TinyMCE 一起使用。

问候 RaVen

更新 我正在使用新的 Razor 视图引擎。

Answer 1

您需要自己动手：

<textarea cols="100" id="PostBodyText" name="PostBodyText" rows="10">
    @MvcHtmlString.Create(Model.PostBodyText)
</textarea>

当然，就安全性而言，这可能非常危险，因为您的网站现在很容易受到 XSS 攻击。所以问题是，当您可以简单地依靠 HTML 帮助器来为您完成这项工作时，为什么要使用一个单独的类来清理所有文本呢？

Answer 2

作为替代选项，您可能想要使用 此处。 MVC 风格的一个例子是：

[ValidateInput(false)]
public ActionResult Method(){
     return View()
}

[ValidateInput(false)]
[AcceptVerbs(HttpVerbs.Post)]
public ActionResult Method(){
    // your stuff here
    RedirectToAction("index"); // or something 
}

我认为这更像是 MVC 的方式。现在您的控制器告诉您该控制器方法存在安全问题。您的视图可以是使用 html 帮助程序等的任何普通视图。请注意，这将启用各种输入，而不是过滤。 它可以与 TinyMCE 一起使用。

//edit

需要在新版本的 MVC 中添加

<httpRuntime requestValidationMode="2.0"/>

woops 我发现您还 到 webconfig 中。我想这可能不是一条路。

Answer 3

在模型属性上使用 [AllowHtml]。正如我在 在 ASP.NET MVC 3 中，如何在 Create() 视图中使用 Razor 语法获取模型？。