mvc 提交Html内容的处理

默认

 

方法1

[ValidateInput(false)]

这个方法会完全开放，对于有些字段允许，有些字段不允许的情况，是不会检测的

 

方法2

[AllowHtml]

此方法只有再使用DefaultModelBinder的时候才有效

public ActionResult Index(FormCollection form)

如使用FormCollection是不起作用的。因为FormCollection与具体的Model并无关联

 

检测不通过，就报错的方式似乎也并不是很友好，如果输入的文本确实需要包含<script标签，那就没法添加成功了

假设允许输入，但是自动传唤成HtmlEncode形式，是否会更好。

可采用自定义ModelBinder的方式

public class MvcHtmlModelBinder : DefaultModelBinder

{

    protected override void SetProperty(ControllerContext controllerContext, ModelBindingContext bindingContext, System.ComponentModel.PropertyDescriptor propertyDescriptor, object value)

    {

        var propertyMetadata = bindingContext.PropertyMetadata[propertyDescriptor.Name];

        if (propertyMetadata.RequestValidationEnabled && propertyDescriptor.PropertyType == typeof(string) && value != null && !string.IsNullOrEmpty(value.ToString()))

        {

            value = value.ToString()

                .Replace("<script", "&lt;script")

                .Replace("</script>", "&lt;/script&gt;");

        }

        base.SetProperty(controllerContext, bindingContext, propertyDescriptor, value);

    }

}

在global里

ModelBinders.Binders.Add(typeof(TestModel), new MvcHtmlModelBinder());

这样，当更新Model以后，允许html的，还是html，而不允许html的，进行了Encode。

当我们把这样的数据记录到数据库，再读出来时（比如编辑页面）

允许html的，和我们输入的一致，而不允许html的，读出来的encode后的，和我们输入的是不一致的。

我们希望在Html.TextBoxFor时，可以再转回来

public class MvcHtmlModelMetadataProvider : DataAnnotationsModelMetadataProvider

{

    protected override ModelMetadata GetMetadataForProperty(Func<object> modelAccessor, Type containerType, System.ComponentModel.PropertyDescriptor propertyDescriptor)

    {

        var meta = base.GetMetadataForProperty(modelAccessor, containerType, propertyDescriptor);

        if (meta.RequestValidationEnabled && meta.ModelType == typeof(string))

        {

            if (meta.Model != null && !string.IsNullOrEmpty(meta.Model.ToString()))

            {

                meta.Model = meta.Model.ToString().Replace("&lt;", "<").Replace("&gt;", ">");

            }

        }

        return meta;

    }

}

global里

ModelMetadataProviders.Current = new MvcHtmlModelMetadataProvider();

之后，我们使用类似这样的代码

public ActionResult Index()

{

    var obj = new TestModel

    {

        Html = "<script>alert(1)</script>",

        Text = "&lt;script>alert(1)&lt;/script&gt;"

    };

    return View(obj);

}

他显示的结果是转回来的

 

但是，如果你是直接输出

@Model.Text

还是转意过的代码

 

以上代码只为说明，请勿直接用于生产