HTML codificación en la entrada MVC

Question

estoy trabajando a través NerdDinner y estoy un poco confundido acerca de la siguiente sección ...

Primero le han agregado una forma de crear una nueva cena, con un montón de cuadros de texto delcared como:

<%= Html.TextArea("Description") %>

entonces Ellos muestran dos formas de entrada de un formulario de unión al modelo:

[AcceptVerbs(HttpVerbs.Post)] 
public ActionResult Create() { 
    Dinner dinner = new Dinner(); 
    UpdateModel(dinner); 
    ... 
} 

o:

[AcceptVerbs(HttpVerbs.Post)] 
public ActionResult Create(Dinner dinner) { ... } 

Ok, genial, todo parece muy fácil hasta ahora.

A continuación, un poco más tarde que dicen:

Es importante estar siempre paranoico por la seguridad cuando se acepta cualquier usuario de entrada, y esto también es cierto cuando objetos vinculantes para formar entrada. Usted debe tener cuidado de siempre HTML codificar cualquier entrada de datos manual a HTML evitar e inyección JavaScript ataques

Huh? MVC está gestionando el enlace de datos para nosotros. ¿Dónde/cómo se supone que debes hacer la codificación HTML?

Answer 1

En general (pero no siempre) quiere codificar HTML los valores antes de escribirlos, normalmente en sus vistas, pero posiblemente también desde el controlador.

alguna información aquí: http://weblogs.asp.net/scottgu/archive/2010/04/06/new-lt-gt-syntax-for-html-encoding-output-in-asp-net-4-and-asp-net-mvc-2.aspx