Dois-je encoder des valeurs HTML dans un champ de saisie?

Question

Lequel dois-je utiliser?

<input type="hidden" name="first_name" 
value="<%= person.first_name %>" /> 

ou

<input type="hidden" name="first_name" 
value="<%= Html.Encode(person.first_name) %>" /> 

Answer 1

Vous devez Html.Encode bien un "dans le domaine pourrait conduire à des problèmes d'injection

Answer 2

Si vous souhaitez définir une valeur par défaut pour un élément HTML, vous avez pour coder the HTML special characters à l'intérieur de la valeur en utilisant character references