ASP.NET 中的 HTML 編碼與 URL 編碼完整指南

ASP.NET 提供 System.Web.HttpUtility.HtmlEncode 與 UrlEncode 靜態方法，分別用於將字串安全輸出至 HTML 內容與 URL 參數，防止 XSS 與參數截斷。

編碼差異對照

ASP.NET 網頁範例

<%@ Page Language="C#" %>
<%@ Import Namespace="System.Web.HttpUtility" %>
<script runat="server">
    void Page_Load()
    {
        string html = "<h1>Hello & World</h1>";
        string url = "page.aspx?id=1&name=test";

        lblHtml.Text = html;
        lblHtmlEncoded.Text = HtmlEncode(html);
        lblUrl.Text = url;
        lblUrlEncoded.Text = UrlEncode(url);
    }
</script>
<html><body>
    原始 HTML: <asp:Label id="lblHtml" runat="server" /><br>
    HtmlEncode: <asp:Label id="lblHtmlEncoded" ForeColor="Blue" runat="server" /><br>
    原始 URL: <asp:Label id="lblUrl" runat="server" /><br>
    UrlEncode: <asp:Label id="lblUrlEncoded" ForeColor="Blue" runat="server" />
</body></html>

最佳實務

• 輸出至 HTML 內容/屬性 → HtmlEncode（或 HtmlAttributeEncode）
• 輸出至 URL 查詢字串 → UrlEncode
• 輸出至 JavaScript 字串 → JavaScriptStringEncode (ASP.NET 4.5+)