我应该在输入字段中对html值进行编码吗？

Question

我应该使用哪一个？

<input type="hidden" name="first_name" 
value="<%= person.first_name %>" /> 

或

<input type="hidden" name="first_name" 
value="<%= Html.Encode(person.first_name) %>" /> 

Answer 1

你应该了Html.Encode否则一个“在该领域可能会导致注入问题

Answer 2

如果你想为一个HTML元素设置的默认值，你有使用character references来编码the HTML special characters内部值