===对AntiXSS中的Microsoft.Security.Application.Encoder.HtmlEncode方法相当不解==

Question

很简单的一句：string str = Request.Form.Get("txt");
str = Encoder.HtmlEncode(str);
如果txt传递的是中文“你好”，Encode.HtmlEncode后是 你好可是我不能将这样的字符保存到数据库吧？这样DBA则不是要疯了，我自己查问题也相当不方便啊。请问大家如何解决这样的问题。谢谢。

Answer 1

你为啥要进行一次HtmlEncode呢》？

Answer 2

to:net_lover
防止跨站攻击 。数据入库前编码。
数据回显时还要编码后输出。

Answer 3

您了解下asp.net安全方面的最佳实践，应该就会知道入库前是一定要编码的。

Answer 4

本帖最后由 net_lover 于 2012-03-13 09:01:58 编辑

  

Answer 5

感谢您的回复。
GetSafeHtmlFragment是允许html,而我是不允许 html