如何在AntiXssEncoder中将&与撇号标记为安全以输出原字符

根因分析 #

• 你调用AntiXssEncoder.HtmlEncode("Mike's & Sallies Shop", true)时的输出是符合该方法设计逻辑的：
  • 第二个布尔参数设为true时，方法会将英文撇号'编码为'
  • HTML编码默认会把特殊字符&编码为&，目的是避免破坏HTML结构、防范XSS注入
• 页面最终展示为实体编码而非原始字符，本质是编码后的字符串被做了二次编码：比如ASP.NET Razor、WebForm等框架默认会对输出内容自动做HTML编码，手动编码后的内容再经过框架自动编码，就会出现&变成&的情况，浏览器解析后就会直接显示编码值而非原始字符。

可行解决方法 #

• 方案1：删除手动编码逻辑，依赖框架自带的安全编码能力
  绝大多数.NET Web框架（MVC/Razor、Blazor、WebForm）默认会对输出到页面的普通文本做安全的HTML编码，不需要手动调用AntiXssEncoder处理，直接输出原始字符串即可，浏览器会自动将实体编码解析为原始字符展示，不会出现二次编码问题。
• 方案2：手动编码后，标记内容为不需要二次编码
  如果你有特殊场景必须手动调用AntiXssEncoder做编码，输出时告诉框架不要对内容重复编码：
  • Razor视图中使用Html.Raw(编码后的字符串)输出
  • WebForm中把Literal控件的Mode属性设为PassThrough
• 方案3：调整编码参数+手动替换（仅适用于完全可控的安全场景）
  如果你确定输出场景没有XSS风险，需要编码结果里直接保留&和'，可以调整调用参数后替换&的编码值：

  // 第二个参数设为false，不编码撇号
  string encodedStr = AntiXssEncoder.HtmlEncode("Mike's & Sallies Shop", false);
  // 替换回&符号，注意该操作有XSS风险，仅可在内容完全可控的场景使用
  string finalStr = encodedStr.Replace("&", "&");
  

注意：不要随意禁用HTML编码，尤其是内容包含用户提交的不可控输入时，禁用编码会导致严重的XSS注入漏洞。

内容的提问来源于stack exchange，提问作者MARS