Razor를 사용하여 Asp.Net MVC View에 JSON으로 객체를 쓰려고합니다.
<script type="text/javascript">
var potentialAttendees = @Json.Encode(Model.PotentialAttendees);
</script>문제는 출력에서 JSON이 인코딩되어 브라우저가 그것을 좋아하지 않는다는 것입니다. 예를 들면 다음과 같습니다.
<script type="text/javascript">
var potentialAttendees = [{"Name":"Samuel Jack"},];
</script>Razor가 인코딩되지 않은 JSON을 내보내도록하려면 어떻게해야합니까?
답변:
당신은 :
@Html.Raw(Json.Encode(Model.PotentialAttendees))베타 2 이전 릴리스에서는 다음과 같이했습니다.
@(new HtmlString(Json.Encode(Model.PotentialAttendees)))javascriptserializer그런를 위해 @Html.Raw(javascriptSerializerObjecct.Serialize(myObject))
Newtonsoft 's JsonConvert.SerializeObject는 Json.Encode@ david-k-egghead가 제안한 것과 동일하게 동작하지 않으며 XSS 공격 까지 개방합니다 .
이 코드를 Razor 뷰에 드롭하여 사용 Json.Encode이 안전하고 JavaScript 컨텍스트에서 Newtonsoft를 안전하게 만들 수 있지만 추가 작업이없는 것은 아닙니다.
<script>
var jsonEncodePotentialAttendees = @Html.Raw(Json.Encode(
new[] { new { Name = "Samuel Jack</script><script>alert('jsonEncodePotentialAttendees failed XSS test')</script>" } }
));
alert('jsonEncodePotentialAttendees passed XSS test: ' + jsonEncodePotentialAttendees[0].Name);
</script>
<script>
var safeNewtonsoftPotentialAttendees = JSON.parse(@Html.Raw(HttpUtility.JavaScriptStringEncode(JsonConvert.SerializeObject(
new[] { new { Name = "Samuel Jack</script><script>alert('safeNewtonsoftPotentialAttendees failed XSS test')</script>" } }), addDoubleQuotes: true)));
alert('safeNewtonsoftPotentialAttendees passed XSS test: ' + safeNewtonsoftPotentialAttendees[0].Name);
</script>
<script>
var unsafeNewtonsoftPotentialAttendees = @Html.Raw(JsonConvert.SerializeObject(
new[] { new { Name = "Samuel Jack</script><script>alert('unsafeNewtonsoftPotentialAttendees failed XSS test')</script>" } }));
alert('unsafeNewtonsoftPotentialAttendees passed XSS test: ' + unsafeNewtonsoftPotentialAttendees[0].Name);
</script>또한보십시오:
Json.Encode내가 기억할 수있는 한 주변에 있었지만 단점은 비표준 날짜를 출력하는 Microsoft의 구현을 사용한다는 것입니다 (다른 귀찮은 일을 할 수도 있음). 나는 JsonConvert.SerializeObject출력이 더 좋기 때문에 Newtonsoft 와 적절한 이스케이프를 함께 사용하고 권장합니다 .
Newtonsoft 사용
<script type="text/jscript">
var potentialAttendees = @(Html.Raw(Newtonsoft.Json.JsonConvert.SerializeObject(Model.PotentialAttendees)))
</script>JsonSerializerSettings.StringEscapeHandling인코딩을 활성화 하기 위해를 재정의 할 수 있습니다 . stackoverflow.com/a/50336590/6950124