我应该在输入字段中对值进行html编码吗？

Question

我应该使用哪个？

<input type="hidden" name="first_name" 
value="<%= person.first_name %>" />

要么

<input type="hidden" name="first_name" 
value="<%= Html.Encode( person.first_name ) %>" />

Answer 1

你应该Html.Encode否则"在现场可能会导致注射问题