Blazor中使用MarkupString渲染HTML的合法风险咨询

• 官方早期警告：Blazor 0.5.0预览版曾针对MarkupString发出安全警告，核心原因是它会跳过Blazor默认的内容转义逻辑，直接渲染原始HTML内容，这意味着如果插入的HTML包含恶意内容，存在被直接渲染的可能。
• 代码执行限制：从实际测试反馈来看，通过MarkupString插入的HTML无法执行JavaScript或触发C#代码——Blazor的渲染机制会拦截脚本执行，而且HTML片段也无法直接调用应用内的C#逻辑。
• 你的场景风险评估：你提到开发者在发布流程外编辑HTML片段，这种场景下风险确实较低，但仍需注意两点：一是要避免插入伪造交互元素（比如钓鱼表单、诱导链接）这类非脚本类恶意HTML；二是后续Blazor版本更新时，要同步确认MarkupString的安全机制是否有变化。
• 文档缺失的应对：目前官方关于MarkupString的安全文档不完善，建议所有自定义HTML片段都先在测试环境验证渲染效果，确认没有意外的页面行为后再投入使用。

内容的提问来源于stack exchange，提问作者Preposterer