是不是用了 Server.HtmlEncode之后，就可以不用储如：strInput = strInput.Replace("[","")来过滤危险字符了？

Question

用Server.HtmlEncode后，所有非法字符都被当做字符型字符串显示出来了，是不是就不用public string CleanUpInput(string strInput)
{

strInput = strInput.Replace("[","");
strInput = strInput.Replace("]","");
strInput = strInput.Replace("{","");
strInput = strInput.Replace("}","");
strInput = strInput.Replace(";","");
strInput = strInput.Replace("&","");
strInput = strInput.Replace("<","");
strInput = strInput.Replace(">","");
return strInput;
}来过滤非法字符了？

Answer 1

是的，因为HtmlEnCode吧<转换成&lt之类的形式，虽然显示时候会显示成<,但是不作为脚本代码处理了.

Answer 2

请教一下：不用函数过滤非法字符，在页面文件中用Server.HtmlEncode（）？还是要保存到数据库时：
 比如：CustomerName=customer.text 还是CustomerName=Server.HtmlEncode（customer.text）？

Answer 3

当然用server.HtmlEncode(customer.text)了。