Sto cercando di scrivere un oggetto come JSON sul mio Asp.Net MVC View usando Razor, in questo modo:
<script type="text/javascript">
var potentialAttendees = @Json.Encode(Model.PotentialAttendees);
</script>Il problema è che nell'output JSON è codificato e al mio browser non piace. Per esempio:
<script type="text/javascript">
var potentialAttendees = [{"Name":"Samuel Jack"},];
</script>Come faccio a far sì che Razor emetta JSON non codificato?
Risposte:
Tu fai:
@Html.Raw(Json.Encode(Model.PotentialAttendees))Nelle versioni precedenti alla Beta 2 ti è piaciuto:
@(new HtmlString(Json.Encode(Model.PotentialAttendees)))javascriptserializerper questo tipo @Html.Raw(javascriptSerializerObjecct.Serialize(myObject))
Newtonsoft JsonConvert.SerializeObjectnon si comporta allo stesso modo Json.Encodee fare ciò che suggerisce @ david-k-egghead ti apre agli attacchi XSS .
Trascina questo codice in una vista Razor per vedere che l'uso Json.Encodeè sicuro e che Newtonsoft può essere reso sicuro nel contesto JavaScript ma non è privo di lavoro extra.
<script>
var jsonEncodePotentialAttendees = @Html.Raw(Json.Encode(
new[] { new { Name = "Samuel Jack</script><script>alert('jsonEncodePotentialAttendees failed XSS test')</script>" } }
));
alert('jsonEncodePotentialAttendees passed XSS test: ' + jsonEncodePotentialAttendees[0].Name);
</script>
<script>
var safeNewtonsoftPotentialAttendees = JSON.parse(@Html.Raw(HttpUtility.JavaScriptStringEncode(JsonConvert.SerializeObject(
new[] { new { Name = "Samuel Jack</script><script>alert('safeNewtonsoftPotentialAttendees failed XSS test')</script>" } }), addDoubleQuotes: true)));
alert('safeNewtonsoftPotentialAttendees passed XSS test: ' + safeNewtonsoftPotentialAttendees[0].Name);
</script>
<script>
var unsafeNewtonsoftPotentialAttendees = @Html.Raw(JsonConvert.SerializeObject(
new[] { new { Name = "Samuel Jack</script><script>alert('unsafeNewtonsoftPotentialAttendees failed XSS test')</script>" } }));
alert('unsafeNewtonsoftPotentialAttendees passed XSS test: ' + unsafeNewtonsoftPotentialAttendees[0].Name);
</script>Guarda anche:
Json.Encodeè in circolazione da quanto posso ricordare, ma il rovescio della medaglia è che utilizza l'implementazione di Microsoft che genera date non standard (e può fare altre cose fastidiose). Uso e incoraggio l'uso di Newtonsoft JsonConvert.SerializeObjectcombinato con la corretta evasione perché ha un output migliore.
Utilizzando Newtonsoft
<script type="text/jscript">
var potentialAttendees = @(Html.Raw(Newtonsoft.Json.JsonConvert.SerializeObject(Model.PotentialAttendees)))
</script>JsonSerializerSettings.StringEscapeHandlingper abilitare la codifica. stackoverflow.com/a/50336590/6950124