標準のHtml.DisplayTextFor（）にHTMLエンコーディングはありませんか？

Question

現在、私たちはASP.NET MVCプロジェクトのXSSに関するいくつかの問題を扱っています。私は2つの問題を発見しました - 最初のものはリクエストの検証パターンと関係しています。攻撃者はこのセキュリティホールを使用して、データベースの不正なコンテンツを削除することができます。

第2の問題は、このコンテンツをどのように表示するかで、Html.DisplayTextForメソッドを使用することで、「破損している」ようです。

だけにHomeControllerでこれを入れて、新しいMVC 3 WebAppのを作成します。

public class HomeController : Controller 
{ 
    public ActionResult Index() 
    { 
     ViewBag.Message = "<SCRIPT/XSS SRC=\"htpp://ha.ckers.org/css.js\">"; 

     User foo = new User(); 
     foo.Name = "<SCRIPT/XSS SRC=\"htpp://ha.ckers.org/css.js\">"; 

     return View(bla); 
    } 

    public ActionResult About() 
    { 
     return View(); 
    } 
} 

public class User 
{ 
    public string Name { get; set; } 
} 

ビュー：DisplayTextForの

@Html.TextBoxFor(m => m.Name) <br/> ||| <-- will be encoded 

@Html.Encode(ViewBag.Message)<br/> ||| <-- will be double encoded 

@Model.Name <br/> ||| <-- will be encoded 

@Html.DisplayTextFor(m => m.Name) <-- no encoding 
<br/> ||| 

出力は、文字列全体<script xss="" src="htpp://ha.ckers.org/css.js">

質問になりますバグ、機能、または私はそれを間違って使用していますか？

Answer 1

Html.DisplayTextForは、実際には[DisplayFormat]属性（see MSDN）と対話するためのものです。

安全でない値を使用している場合は、このことに気づき、プロパティで [DisplayFormat(HtmlEncode = true)]を使用する必要があります。

編集：HtmlEncodeプロパティが実際にDataAnnotationsModelMetadataProvider（およびDisplayTextFor）によって強制されていないように見えます。