c# - SecurityElement.IsValidText在 "&"上返回true ...为什么？

我有一个最终保存在xml节点中的TextBox。我在保存xml之前使用 SecurityElement.Escape(string2Escape)来转义无效字符。

问题:我尝试使用IsValidText来测试是否需要运行转义方法，但是它会返回“''和“＆”为有效，但是随后在保存xml时，系统Barfs实际上是无效的。似乎只在''上返回false。

简单的解决方案，取消检查，但我的问题是为什么会是这种情况？

以下是我失败的代码:

private string EscapeXML(string nodeText)
{
    if (!SecurityElement.IsValidText(nodeText))
    {
        return SecurityElement.Escape(nodeText);
    }
    return nodeText;
}

最佳答案

SecurityElement构造函数显然已经自行进行了一些转义(包括“＆”字符)，因此IsValidText似乎仅在检查构造函数尚未处理的字符。
因此，除非使用SecurityElement构建整个xml，否则使用SecurityElement的IsValidText/Escape组合看起来并不安全。

我将尝试通过一个示例更好地解释:

using System;
using System.Diagnostics;
using System.Security;

class MainClass
{
    public static void Main (string[] args)
    {
        // the SecurityElement constructor escapes the & all by itself
        var xmlRoot =
            new SecurityElement("test","test &");

        // the & is escaped without SecurityElement.Escape
        Console.WriteLine (xmlRoot.ToString());

        // this would throw an exception (the SecurityElement constructor
        // apparently can't escape < or >'s
        // var xmlRoot2 =
        //    new SecurityElement("test",@"test & > """);

        // so this text needs to be escaped before construction
        var xmlRoot3 =
            new SecurityElement("test",EscapeXML(@"test & > """));
        Console.WriteLine (xmlRoot3.ToString());

    }

    private static string EscapeXML(string nodeText)
    {
        return (SecurityElement.IsValidText(nodeText))?
            nodeText :
            SecurityElement.Escape(nodeText);
    }
}