ASP.NET Server.HtmlEncode 與 UrlEncode 差異深度解析 (二)

承上篇，本文聚焦 Server.UrlEncode 行為，並揭示混合 HTML 標籤時的危險字元偵測機制。

UrlEncode 規則

• 空格 → + (而非 %20，RFC 3986 標準為 %20，ASP.NET 歷史相容性保留 +)。
• 非 ASCII 字元 (中文等) → UTF-8 位元組序列，每位元組 %XX。
• 保留字元 (! ' ( ) * ; : @ & = + $ , / ? # [ ]) 視情境編碼。

實測對照表

關鍵發現：ASP.NET 要求驗證攔截

當 UrlEncode 後的字串包含 <、> 等 HTML 標籤字元時，即使已編碼為 %3C/%3E，ASP.NET 預設要求驗證 (requestValidationMode="4.5") 仍會偵測到原始輸入含危險字元並拋出 HttpRequestValidationException。

解決方案

1. 雙重編碼：先 HtmlEncode 再 UrlEncode → < → < → %26lt%3B，繞過驗證但解碼需對應雙重解碼。
2. Base64 編碼：Convert.ToBase64String(Encoding.UTF8.GetBytes(input)) → 傳遞純英數字元，完全避開驗證。
3. 關閉驗證 (不建議)：<pages validateRequest="false" /> 或 [ValidateInput(false)]，引入 XSS 風險。
4. 使用 POST + Body：將複雜資料放入 Request Body (JSON/Form)，而非 QueryString。

最佳實務建議

理解各編碼器的編碼集合與 ASP.NET 要求驗證機制，能避免「明明編碼了卻仍被攔截」的困擾。