.NET Framework与.NET 6中HtmlEncode差异及HtmlRaw安全性咨询

核心差异原因 #

.NET Framework里的HttpUtility.HtmlEncode和.NET 6中对应的实现（如System.Web.HttpUtility或Microsoft.AspNetCore.Html.HtmlEncoder）行为存在本质差异：前者默认保留Unicode字符（如中文、匈牙利语字符），后者默认将非ASCII字符编码为实体形式（比如á），这是因为两者编码器的默认规则不同，.NET 6的编码器采用了更严格的编码策略。

配置调整方案 #

你已设置UTF-8编码的前提下，无需修改文件编码，可通过配置自定义HtmlEncoder让.NET 6保留Unicode字符：

1. 在Program.cs中注册自定义编码器：

builder.Services.AddSingleton<HtmlEncoder>(
    HtmlEncoder.Create(UnicodeRanges.All)
);

该配置会让编码器允许所有Unicode范围的字符，不再将非ASCII字符转为实体，和.NET Framework的行为对齐。
2. 视图中直接使用Html.Encode即可，无需额外修改视图代码。

关于HtmlRaw的安全性与适用性 #

• 安全性风险：HtmlRaw会直接输出原始HTML内容，完全不做编码处理。如果内容来自用户输入或其他不可信来源，极易引发XSS攻击，绝对不能直接用于不可信内容。
• 是否为最优方案：显然不是。最优方案是通过配置自定义HtmlEncoder统一控制编码规则，既保证安全，又能满足字符正常显示的需求。只有当你完全确认内容是安全的（比如硬编码的固定HTML片段），才考虑使用HtmlRaw。

内容的提问来源于stack exchange，提问作者Tautvy Da