ฉันจะเขียน Json ที่ไม่มีการเข้ารหัสลงในมุมมองของฉันโดยใช้มีดโกนได้อย่างไร

ฉันพยายามเขียนวัตถุเป็น JSON ไปยัง Asp.Net MVC View ของฉันโดยใช้มีดโกนเช่น:

<script type="text/javascript">
  var potentialAttendees = @Json.Encode(Model.PotentialAttendees);
</script>

ปัญหาคือว่าในการส่งออก JSON ถูกเข้ารหัสและเบราว์เซอร์ของฉันไม่ชอบมัน ตัวอย่างเช่น:

<script type="text/javascript">
    var potentialAttendees = [{&quot;Name&quot;:&quot;Samuel Jack&quot;},];
</script>

ฉันจะให้มีดโกนปล่อย JSON ที่ไม่มีการเข้ารหัสได้อย่างไร

คุณทำ:

@Html.Raw(Json.Encode(Model.PotentialAttendees))

ในรุ่นก่อนหน้า Beta 2 คุณทำเช่นนี้:

@(new HtmlString(Json.Encode(Model.PotentialAttendees)))

Newtonsoft ของJsonConvert.SerializeObjectไม่ประพฤติเช่นเดียวกับJson.Encodeและทำในสิ่งที่ @ david-K-ปัญญาชนแสดงให้เห็นเปิดให้คุณถึงโจมตี XSS

วางรหัสนี้ในมุมมองมีดโกนเพื่อดูว่าการใช้Json.Encodeนั้นปลอดภัยและ Newtonsoft สามารถสร้างความปลอดภัยในบริบท JavaScript แต่ไม่ได้โดยไม่มีงานพิเศษ

<script>
    var jsonEncodePotentialAttendees = @Html.Raw(Json.Encode(
        new[] { new { Name = "Samuel Jack</script><script>alert('jsonEncodePotentialAttendees failed XSS test')</script>" } }
    ));
    alert('jsonEncodePotentialAttendees passed XSS test: ' + jsonEncodePotentialAttendees[0].Name);
</script>
<script>
    var safeNewtonsoftPotentialAttendees = JSON.parse(@Html.Raw(HttpUtility.JavaScriptStringEncode(JsonConvert.SerializeObject(
        new[] { new { Name = "Samuel Jack</script><script>alert('safeNewtonsoftPotentialAttendees failed XSS test')</script>" } }), addDoubleQuotes: true)));
    alert('safeNewtonsoftPotentialAttendees passed XSS test: ' + safeNewtonsoftPotentialAttendees[0].Name);
</script>
<script>
    var unsafeNewtonsoftPotentialAttendees = @Html.Raw(JsonConvert.SerializeObject(
        new[] { new { Name = "Samuel Jack</script><script>alert('unsafeNewtonsoftPotentialAttendees failed XSS test')</script>" } }));
    alert('unsafeNewtonsoftPotentialAttendees passed XSS test: ' + unsafeNewtonsoftPotentialAttendees[0].Name);
</script>

ดูสิ่งนี้ด้วย:

• เอาต์พุตของ JsonConvert.SerializeObject จำเป็นต้องเข้ารหัสในมุมมองมีดโกนหรือไม่
• กฎการป้องกัน XSS

ใช้ Newtonsoft

<script type="text/jscript">
  var potentialAttendees  = @(Html.Raw(Newtonsoft.Json.JsonConvert.SerializeObject(Model.PotentialAttendees)))
</script>