我应该在输入字段中对值进行html编码吗?

mr *_* mo 7 c# xss asp.net-mvc

我应该使用哪个?

<input type="hidden" name="first_name" 
value="<%= person.first_name %>" />
Run Code Online (Sandbox Code Playgroud)

要么

<input type="hidden" name="first_name" 
value="<%= Html.Encode( person.first_name ) %>" />
Run Code Online (Sandbox Code Playgroud)

Ant*_*nes 5

你应该Html.Encode否则"在现场可能会导致注射问题