¿Por qué debo dejar de usar <%= … %> para renderizar y comenzar a usar <%: … %> en Asp.net?

Question

Leí en alguna parte que debería dejar de usar <%= … %> para procesar y comenzar a usar <%: … %>.

¿Alguien puede explicar las diferencias entre <%= … %> y <%: … %>, y cuáles son las ventajas de usar una u otra?

Aquí es el SlideDeck estoy leyendo

http://ssmith-presentations.s3.amazonaws.com/ASPNET_TipsTricksTools_April2010.zip

Aquí están los enlaces se puede obtener más información de

http://weblogs.asp.net/scottgu/archive/2010/04/06/new-lt-gt-syntax-for-html-encoding-output-in-asp-net-4-and-asp-net-mvc-2.aspx

http://haacked.com/archive/2009/11/03/html-encoding-nuggets-aspnetmvc2.aspx

Answer 1

En realidad se trata de una versión corta de <% = Server.HtmlEncode (cadena)%>

Vea este enlace

http://weblogs.asp.net/scottgu/archive/2010/04/06/new-lt-gt-syntax-for-html-encoding-output-in-asp-net-4-and-asp-net-mvc-2.aspx

Es mejor práctica con el fin de evitar los ataques de JavaScript, etc Así que si alguien añade un comentario a tu blog, por ejemplo, que tiene un decir HTML o Javascript iframe en él, entonces se representará exactamente como se escribe y no con el JS o el iframe realmente funcionando.

Answer 2

Básicamente, <%: HTML codificará el resultado, mientras que <%= no lo hará. Esto ayuda a prevenir ataques XSS. Puede leer más sobre esto en esta serie de blog posts de Phil Haack.