保存html的最佳實踐決定？

我有一個客戶端/服務器應用程序（asp.net），它有一個用戶在html elements + text中輸入的textarea。保存html的最佳實踐決定？

從客戶端發送到服務器的數據是通過jQuery ajax POST。（以ashx）

可以說在客戶端類型：

<b> Hello </b>

所以我：

1）encodeUriComponent的全部文本。

2）Html Encode特殊字符（如> <）

3）發送這個到服務器

4）保存在DB中。

問：

什麼是分貝節能的首選方式是什麼？

With > <？或者我應該解碼它，然後保存它？

（數據應該呈現給用戶，在未來的一段時間......）

2012-02-15 Royi Namir

嗯...只是將其保存在數據庫原始。您不需要進行URL編碼或HTML編碼以將其保存到數據庫。您需要的唯一保護是針對SQL注入，只需簡單地參數化所有查詢即可輕鬆實現。 – BoltClock 2012-02-15 20:04:02

@BoltClock是的，但我不能發送它的服務器像標籤<>因爲它會引起異常 – 2012-02-15 20:04:44

@ subt13你的事情StackOverlFlow做什麼？當你寫代碼？ – 2012-02-15 20:05:14

2012-02-15 20:25:26

我不使用MVC。我只是注意到你的答案是關於mvc的。 Asp.net不會讓我_POST原始的HTML_ - 如果我發送'<'它會給出錯誤 – 2012-08-05 15:41:42

你可以把它保存到數據庫中生，但我強烈建議你使用某種解析清潔輸入。你需要清理非標準的html，以及任何對javascript的嘗試等等，否則這是一個巨大的安全風險。你可以在這裏使用html tidy .net wrapper。

2012-02-15 20:14:22

回答