codifica Html in ingresso MVC

Question

sto lavorando attraverso NerdDinner e io sono un po 'confuso circa la seguente sezione ...

Prima hanno aggiunto un modulo per la creazione di una nuova cena, con un gruppo di caselle di testo delcared come:

<%= Html.TextArea("Description") %>

Essi mostrano quindi due modi di legame ingresso forma al modello:

[AcceptVerbs(HttpVerbs.Post)] 
public ActionResult Create() { 
    Dinner dinner = new Dinner(); 
    UpdateModel(dinner); 
    ... 
} 

o:

[AcceptVerbs(HttpVerbs.Post)] 
public ActionResult Create(Dinner dinner) { ... } 

Ok, fantastico, tutto sembra davvero facile finora.

Poi un po 'più tardi dicono:

E' importante essere sempre paranoici sulla sicurezza quando accettare qualsiasi input dell'utente, e questo è vero anche quando oggetti vincolanti per formare ingresso. Si dovrebbe fare attenzione a sempre HTML codificare i valori immessi dall'utente per evitare di HTML e JavaScript iniezione attacchi

Eh? MVC gestisce i dati vincolanti per noi. Dove/come si dovrebbe fare la codifica HTML?

Answer 1

Generalmente (ma non sempre) si desidera codificare in HTML i valori prima di scriverli, in genere nelle visualizzazioni, ma probabilmente anche dal controller.

Alcune informazioni qui: http://weblogs.asp.net/scottgu/archive/2010/04/06/new-lt-gt-syntax-for-html-encoding-output-in-asp-net-4-and-asp-net-mvc-2.aspx