Che cos'è un MvcHtmlString e quando dovrei usarlo?

La documentazione per MvcHtmlStringnon è terribilmente illuminante:

Rappresenta una stringa con codifica HTML che non deve essere codificata nuovamente.

Non mi è chiaro quali siano esattamente le implicazioni di ciò. Sembra che alcuni metodi di supporto HTML restituiscano un MvcHtmlString, ma diversi esempi che ho visto online di helper personalizzati restituiscono solo una stringa normale.

Domande:

Che cos'è un MvcHtmlString?

Quando dovrei scegliere MvcHtmlStringoltre stringe viceversa? Perché?

ASP.NET 4 introduce una nuova sintassi del nugget di codice <%: %>. In sostanza, si <%: foo %>traduce in <%= HttpUtility.HtmlEncode(foo) %>. Il team sta cercando di indurre gli sviluppatori a utilizzare <%: %>invece che <%= %>dove possibile per impedire XSS.

Tuttavia, ciò introduce il problema che se un nugget di codice già codifica il suo risultato, la <%: %>sintassi lo ricodificherà . Ciò è stato risolto dall'introduzione dell'interfaccia IHtmlString (nuova in .NET 4). Se foo () in <%: foo() %>restituisce un IHtmlString, la <%: %>sintassi non lo ricodificherà.

Gli helper di MVC 2 restituiscono MvcHtmlString, che su ASP.NET 4 implementa l'interfaccia IHtmlString. Pertanto, quando gli sviluppatori utilizzano <%: Html.*() %>ASP.NET 4, il risultato non verrà codificato in doppio.

Modificare:

Un vantaggio immediato di questa nuova sintassi è che le tue viste sono un po 'più pulite. Ad esempio, puoi scrivere <%: ViewData["anything"] %>invece di <%= Html.Encode(ViewData["anything"]) %>.

Questa è una risposta tardiva ma se qualcuno che sta leggendo questa domanda sta usando il rasoio, quello che dovresti ricordare è che il rasoio codifica tutto per impostazione predefinita, ma usando i MvcHtmlStringtuoi aiutanti html puoi dire al rasoio che non è necessario codificarlo .

Se si desidera che il rasoio non codifichi una stringa, utilizzare

@Html.Raw("<span>hi</span>")

Decompilare Raw (), ci mostra che sta avvolgendo la stringa in un HtmlString

public IHtmlString Raw(string value) {
    return new HtmlString(value); 
}

" HtmlString esiste solo in ASP.NET 4.

MvcHtmlString era uno shim di compatibilità aggiunto a MVC 2 per supportare sia .NET 3.5 che .NET 4. Ora che MVC 3 è solo .NET 4, è una sottoclasse abbastanza banale di HtmlString presumibilmente per MVC 2-> 3 per la compatibilità dei sorgenti. " fonte

Un buon uso pratico di questo è se vuoi creare le tue HtmlHelperestensioni. Ad esempio, odio provare a ricordare la <link>sintassi del tag, quindi ho creato il mio metodo di estensione per creare un <link>tag:

<Extension()> _
Public Function CssBlock(ByVal html As HtmlHelper, ByVal src As String, ByVal Optional ByVal htmlAttributes As Object = Nothing) As MvcHtmlString
    Dim tag = New TagBuilder("link")
    tag.MergeAttribute("type", "text/css")
    tag.MergeAttribute("rel", "stylesheet")
    tag.MergeAttribute("href", src)
    tag.MergeAttributes(New RouteValueDictionary(htmlAttributes))
    Dim result = tag.ToString(TagRenderMode.Normal)
    Return MvcHtmlString.Create(result)
End Function

Avrei potuto tornare Stringda questo metodo, ma se avessi avuto il seguente si sarebbe rotto:

<%: Html.CssBlock(Url.Content("~/sytles/mysite.css")) %>

Con MvcHtmlString, usando uno <%: ... %>o <%= ... %>entrambi funzionerà correttamente.

Si userebbe un MvcHtmlStringse si desidera passare HTML grezzo a un metodo di supporto MVC e non si desidera che il metodo di supporto codifichi l'HTML.