¿Cómo escribo Json sin codificar en mi vista usando Razor?

Question

estoy tratando de escribir un objeto como JSON a mi Asp.Net MVC Ver usando la maquinilla de afeitar, así:

<script type="text/javascript"> 
    var potentialAttendees = @Json.Encode(Model.PotentialAttendees); 
</script> 

El problema es que en la salida de la JSON se codifica, y mi navegador no lo hace gusta. Por ejemplo:

<script type="text/javascript"> 
    var potentialAttendees = [{&quot;Name&quot;:&quot;Samuel Jack&quot;},]; 
</script> 

¿Cómo hago que Razor emita JSON sin codificar?

Answer 1

lo hace:

@Html.Raw(Json.Encode(Model.PotentialAttendees)) 

En versiones anteriores de Beta 2 le hice así:

@(new HtmlString(Json.Encode(Model.PotentialAttendees))) 

Answer 2

Usando Newtonsoft

<script type="text/jscript"> 
    var potentialAttendees = @(Html.Raw(Newtonsoft.Json.JsonConvert.SerializeObject(Model.PotentialAttendees))) 
</script> 

Answer 3

de JsonConvert.SerializeObject Newtonsoft no se comporta igual que Json.Encode y hacer lo que sugiere @ david-k-egghead te abre a Ataques XSS.

Coloque este código en una vista Razor para ver que el uso de Json.Encode es seguro y que Newtonsoft puede hacerse seguro en el contexto de JavaScript, pero no sin un trabajo adicional.

<script> 
    var jsonEncodePotentialAttendees = @Html.Raw(Json.Encode(
     new[] { new { Name = "Samuel Jack</script><script>alert('jsonEncodePotentialAttendees failed XSS test')</script>" } } 
    )); 
    alert('jsonEncodePotentialAttendees passed XSS test: ' + jsonEncodePotentialAttendees[0].Name); 
</script> 
<script> 
    var safeNewtonsoftPotentialAttendees = JSON.parse(@Html.Raw(HttpUtility.JavaScriptStringEncode(JsonConvert.SerializeObject(
     new[] { new { Name = "Samuel Jack</script><script>alert('safeNewtonsoftPotentialAttendees failed XSS test')</script>" } }), addDoubleQuotes: true))); 
    alert('safeNewtonsoftPotentialAttendees passed XSS test: ' + safeNewtonsoftPotentialAttendees[0].Name); 
</script> 
<script> 
    var unsafeNewtonsoftPotentialAttendees = @Html.Raw(JsonConvert.SerializeObject(
     new[] { new { Name = "Samuel Jack</script><script>alert('unsafeNewtonsoftPotentialAttendees failed XSS test')</script>" } })); 
    alert('unsafeNewtonsoftPotentialAttendees passed XSS test: ' + unsafeNewtonsoftPotentialAttendees[0].Name); 
</script> 

Consulte también:

• Does the output of JsonConvert.SerializeObject need to be encoded in Razor view?
• XSS Prevention Rules