选择MVC视图引擎

我想允许我的Web应用程序的最终用户修改存储在数据库中的视图（通过基于Web的后台）。期望的视图引擎预计是代码注入安全的，这意味着最终用户将被限制为绝对最小数量的可用表达式，不允许插入服务器代码。选择MVC视图引擎

是否有任何适合的视图引擎可供下载？

2010-03-31 leonard

我不知道任何现有的发动机，但菲尔哈克对存储在数据库中的意见后：http://haacked.com/archive/2009/04/22/scripted-db-views.aspx

该职位与用户创建的意见想法的交易。如果你想防范XSS风格的代码注入攻击，你可以使用sanitize your HTML。

2010-03-31 19:23:43

尽快让我的应用程序的最终用户能够修改视图，他们可以将服务器代码插入到视图中（例如，如果我使用spark view-engine：通过使用如下语法：

！{SERVER_CODE_THAT_CAN_DO_ANYTHING_UNSECURE}

）所以，在这里我的Web服务器上有安全漏洞。 – leonard 2010-03-31 19:58:35

这就是第二个环节 - 杰夫阿特伍德自己告诉你如何去除邪恶的东西。请注意，服务器本身不会使用ASP.NET MVC执行任何操作。您主要关心的是JavaScript XSS攻击。 – 2010-03-31 20:01:03

回答