Làm cách nào để viết Json chưa được mã hóa vào Chế độ xem của tôi bằng Dao cạo?

Tôi đang cố gắng viết một đối tượng dưới dạng JSON vào Chế độ xem Asp.Net MVC của mình bằng cách sử dụng Dao cạo, như vậy:

<script type="text/javascript">
  var potentialAttendees = @Json.Encode(Model.PotentialAttendees);
</script>

Vấn đề là ở đầu ra JSON được mã hóa và trình duyệt của tôi không thích nó. Ví dụ:

<script type="text/javascript">
    var potentialAttendees = [{&quot;Name&quot;:&quot;Samuel Jack&quot;},];
</script>

Làm cách nào để có được Dao cạo để phát JSON chưa được mã hóa?

Bạn làm:

@Html.Raw(Json.Encode(Model.PotentialAttendees))

Trong các bản phát hành sớm hơn Beta 2, bạn đã làm như sau:

@(new HtmlString(Json.Encode(Model.PotentialAttendees)))

Newtonsoft JsonConvert.SerializeObjectkhông hành xử giống như Json.Encodevà làm những gì @ david-k-egghead gợi ý mở ra cho bạn các cuộc tấn công XSS .

Thả mã này vào chế độ xem Dao cạo để thấy rằng việc sử dụng Json.Encodelà an toàn và Newtonsoft có thể được làm cho an toàn trong ngữ cảnh JavaScript nhưng không phải không có thêm một số công việc.

<script>
    var jsonEncodePotentialAttendees = @Html.Raw(Json.Encode(
        new[] { new { Name = "Samuel Jack</script><script>alert('jsonEncodePotentialAttendees failed XSS test')</script>" } }
    ));
    alert('jsonEncodePotentialAttendees passed XSS test: ' + jsonEncodePotentialAttendees[0].Name);
</script>
<script>
    var safeNewtonsoftPotentialAttendees = JSON.parse(@Html.Raw(HttpUtility.JavaScriptStringEncode(JsonConvert.SerializeObject(
        new[] { new { Name = "Samuel Jack</script><script>alert('safeNewtonsoftPotentialAttendees failed XSS test')</script>" } }), addDoubleQuotes: true)));
    alert('safeNewtonsoftPotentialAttendees passed XSS test: ' + safeNewtonsoftPotentialAttendees[0].Name);
</script>
<script>
    var unsafeNewtonsoftPotentialAttendees = @Html.Raw(JsonConvert.SerializeObject(
        new[] { new { Name = "Samuel Jack</script><script>alert('unsafeNewtonsoftPotentialAttendees failed XSS test')</script>" } }));
    alert('unsafeNewtonsoftPotentialAttendees passed XSS test: ' + unsafeNewtonsoftPotentialAttendees[0].Name);
</script>

Xem thêm:

• Đầu ra của JsonConvert.SerializeObject có cần được mã hóa trong chế độ xem Dao cạo không?
• Quy tắc phòng chống XSS

Sử dụng Newtonsoft

<script type="text/jscript">
  var potentialAttendees  = @(Html.Raw(Newtonsoft.Json.JsonConvert.SerializeObject(Model.PotentialAttendees)))
</script>