ASP.NET MVC Core 2中Required特性含HTML标签的验证提示失效问题

嘿，这个问题我之前踩过一模一样的坑！默认情况下ASP.NET MVC Core会自动对验证错误消息做HTML编码，所以你写的<strong>、<br>这类标签都会被转义成纯文本显示，根本不会被浏览器解析成HTML。下面给你几个实用的解决办法：

方法一：单个字段直接用Html.Raw()渲染未编码消息 #

如果只是个别字段需要支持HTML提示，最简单的方式就是绕过默认编码逻辑，手动输出原始内容。比如原来你可能用的是：

@Html.ValidationMessageFor(m => m.Username)

现在改成手动获取错误消息，并用Html.Raw()输出：

@{
    var errorMsg = ModelState["Username"]?.Errors.FirstOrDefault()?.ErrorMessage;
}
@if (!string.IsNullOrEmpty(errorMsg))
{
    <span class="text-danger">@Html.Raw(errorMsg)</span>
}

这样HTML标签就能正常生效了，但要注意：如果错误消息包含用户输入的动态内容，一定要先做XSS过滤，不然会有安全风险！

方法二：自定义TagHelper全局支持HTML验证消息 #

如果你希望所有验证消息都能解析HTML，可以自定义一个TagHelper替换默认行为：

1. 创建自定义TagHelper类：

using Microsoft.AspNetCore.Mvc.TagHelpers;
using Microsoft.AspNetCore.Razor.TagHelpers;

[HtmlTargetElement("span", Attributes = "asp-validation-for")]
public class HtmlValidationMessageTagHelper : ValidationMessageTagHelper
{
    public HtmlValidationMessageTagHelper(IHtmlGenerator generator) : base(generator)
    {
    }

    public override void Process(TagHelperContext context, TagHelperOutput output)
    {
        base.Process(context, output);
        // 取消HTML编码，让内容直接以HTML形式输出
        output.Content.SetHtmlContent(output.Content.GetContent());
    }
}

2. 在_ViewImports.cshtml里注册这个TagHelper：

@addTagHelper *, YourProjectNamespace

之后不管用@Html.ValidationMessageFor还是TagHelper写法<span asp-validation-for="Username"></span>，都会自动渲染HTML标签了。

方法三：处理客户端验证的HTML消息显示 #

如果你的项目启用了客户端验证（jQuery Validate），默认客户端的验证消息也是会被编码的。这时候需要修改jQuery Validate的默认消息渲染逻辑：

$.validator.setDefaults({
    showErrors: function(errorMap, errorList) {
        // 清空现有错误提示
        this.currentElements.removeClass("input-validation-error");
        $(".field-validation-error").remove();
        
        // 遍历错误列表，用html()而非text()输出原始HTML
        $.each(errorList, function(index, error) {
            $(error.element)
                .addClass("input-validation-error")
                .after($("<span>")
                    .addClass("field-validation-error text-danger")
                    .html(error.message));
        });
    }
});

这样客户端验证的消息也能正常解析HTML标签了。

最后再敲个警钟：只有当你完全控制错误消息的内容（比如是自己硬编码的提示）时，才建议这么做。如果消息里包含用户输入的动态内容，一定要先过滤掉危险的HTML标签，避免XSS攻击。

内容的提问来源于stack exchange，提问作者user2328625