c# - クエリ文字列パラメーターに html.encode を使用する

Question

クエリ文字列パラメーターをビジネス層に渡す前に html.encode を使用することは良い方法ですか? シナリオはasp.netフレームワークに関するもので、キーから値を読み取る前にクエリ文字列の内容をエンコードする必要があるかどうか疑問に思っていますか?

コンテンツを期待されるデータ型にいつでも変換できることはわかっていますが、私の質問は設計の観点からです。

ありがとう！

Answer 1

私はそう言うでしょう。少なくとも、ブラウザがエンコーディングを間違える可能性があるため、必要です。1 つの記号が別の記号として、または不明な文字として表示される場合があります。ブラウザが間違えると、前の文字と混同されることさえあります。

より複雑な理由には、HTML インジェクションの防止に役立つことが含まれます。

HTML エンコーディングを使用する必要がある理由を簡単に説明すると、HTML では特定の文字セットが特別な意味を持ち、エンコーディングはキャレットやアンパサンドなどの記号をすべてのブラウザで適切に処理するのに役立ちます。