Web Api/Knockout html 编码帖子

Question

我正在编写一个应用程序，它接受用于淘汰赛/jquery 移动应用程序的表单发布，以后用户可以拉下发布的数据并查看表单上填写的内容。

用户可能会在输入中放置 html 或脚本标签。现在看来，当数据被删除并放回表单时，任何 html 标签或脚本都会显示在输入中，一切都很好。甚至带有 html 的标签似乎也正确转义，实际上并没有显示为 html。

但是我怎么能确定如果用户在表单输入中输入了一些 html，比如

<h1>Show This</h1> 

当它稍后显示在表单中时，它实际上并没有弄乱表单的显示或运行脚本标记或其他东西。

Web Api 或 Knockout 是否提供任何类型的自动编码以防止出现这种情况？

Answer 1

Knockout 中的text 绑定将通过创建一个文本节点并使用该值填充它来转义该值。

另一方面，html 绑定不会进行这种类型的转义，并且可能会执行代码，因此您不希望在用户输入的输入中使用它。