Html輸入數據時的編碼？還是輸家或兩者？

Question

想知道我應該在將數據放入數據庫還是顯示給用戶之前對所有數據進行編碼？或兩者。

現在我會向用戶展示它。我使用的是asp.net mvc 2.0，所以我通常只需要編寫一切<%: %>。

我不確定兩者，雖然這可能是一個有點極端做到這一點。

此外，我真的只需要注意用戶輸入字符串權利？

就像我剛剛遇到一個問題，其中我的插件之一由於某種原因不能出於某種原因弄清楚如何日期如果日期是HTML編碼。

我只是把它編碼沒有想到。現在有人向我指出，這樣做沒有什麼意義，因爲我將日期從數據庫中取出，並在數據庫中將其存儲爲日期時間。所以不能真的存儲在那裏的JavaScript。

所以我猜我真的沒有這些編碼（糾正我，如果我錯了）

INT，位（布爾變量），dataetimes，小數類型如果存儲在數據庫中的這種方式。

如果它不影響我的任何插件，我仍然可以對它們進行編碼，但很高興知道我可能不需要。

Answer 1

在大多數情況下，當您將數據存儲在數據庫中時，不應該對數據進行HTML編碼。正如你已經注意到的那樣，對於大多數數據類型（整數，日期等）來說，它更好（即更高性能，適用於其他系統等），以便將其保存爲未編碼。

您需要擔心的一種情況是來自外部來源（如最終用戶）的字符串。即使在這種情況下，只要將數據存儲爲未編碼就足夠了，並且一旦數據返回到瀏覽器就使用<%: ... %>進行編碼。您應該只考慮編碼字符串，如果它來自某些啓用標記的用戶控件（如TinyMCE文本編輯器或類似的東西）。

還要小心保護自己免受SQL注入攻擊。您應該驗證一段旨在表示日期的數據實際上是一個日期，然後再嘗試將其發送到數據庫。