2

Estou trabalhando com SQL Server 2008 e IIS7 para hospedar o meu website MVC.

Por questões de segurança, o website no qual trabalho neste momento, não permite que strings com caracteres especiais como '<' ou '>' provenientes de uma <textarea> sejam enviadas para a base de dados.

Como posso codificar esses caracteres e depois descodifica-los depois de buscar a string à base de dados? Quero conseguir fazer algo do tipo:

  1. Codificar caracteres especiais na RazorView numa string usando JavaScript
  2. Enviar a string codificada (que não tem os caracteres especiais) usando um POST para o Controller do MVC
  3. Buscar a string à base de dados e descodificar, também, na view

2 Respostas 2

3

Não precisa nada disso. Basta marcar o Model ou ViewModel com [AllowHtml]:

[AllowHtml]
[DataType(DataType.MultilineText)]
public String MeuTextoHtml { get; set; }
8
  • O Data Anotattion AllowHtml previni ataques XSS?
    – Marconi
    Commented 28/03/2017 às 17:10
  • Ele e o [ValidateAntiForgeryToken]. Commented 28/03/2017 às 17:11
  • Entendi +1. Aqui tem uma resposta interessante sobre o assunto.
    – Marconi
    Commented 28/03/2017 às 17:13
  • e isso previne a execução de código inserido pela input? (ex. SQL injection)
    – ihavenokia
    Commented 28/03/2017 às 20:10
  • @ihavenokia Se você usa Entity Framework, sim. Commented 28/03/2017 às 20:22
0

HTML

Primeiro implementa a função abaixo, para criar um elemento e pegar o seu html

function HtmlEncode(s)
{
    var el = document.createElement("div");
    el.innerText = el.textContent = s;
    s = el.innerHTML;
    el.remove();
    return s;
}

Depois no seu POST você codifica a string e envia

var conteudo=HtmlEncode($("#MinhaTextArea").val())
$.ajax({
    url: '/Meucontrole/MinhaAction',
    method:"Post",
    data:{parametro:conteudo},
    success: function (d) {
        //TODO:;
    }

})

Controller

No seu controler você irá receber a string codificada no parâmetro parametro , para decodificar utilize System.Web.HttpUtility.HtmlDecode() e para codificar novamente System.Web.HttpUtility.HtmlEncode(t).

[HttpPost]
public ActionResult MinhaAction(string parametro)
{
    var decodificado = System.Web.HttpUtility.HtmlDecode(parametro);

    //TODO:;

    var codificado = System.Web.HttpUtility.HtmlEncode(decodificado);
    return View();
}

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .