Wie schreibe ich mit Razor nicht codierten Json in meine Ansicht?

Ich versuche, ein Objekt als JSON mit Razor in meine Asp.Net MVC-Ansicht zu schreiben:

<script type="text/javascript">
  var potentialAttendees = @Json.Encode(Model.PotentialAttendees);
</script>

Das Problem ist, dass in der Ausgabe der JSON codiert ist und mein Browser ihn nicht mag. Beispielsweise:

<script type="text/javascript">
    var potentialAttendees = [{&quot;Name&quot;:&quot;Samuel Jack&quot;},];
</script>

Wie bringe ich Razor dazu, nicht codierten JSON auszugeben?

Sie machen:

@Html.Raw(Json.Encode(Model.PotentialAttendees))

In früheren Versionen als Beta 2 hat es Ihnen gefallen:

@(new HtmlString(Json.Encode(Model.PotentialAttendees)))

Newtonsofts JsonConvert.SerializeObjectverhält sich nicht so wie Json.Encodeund wenn Sie das tun, was @ david-k-egghead vorschlägt, sind Sie für XSS-Angriffe geöffnet .

Legen Sie diesen Code in einer Razor-Ansicht ab, um zu sehen, dass die Verwendung Json.Encodesicher ist und dass Newtonsoft im JavaScript-Kontext sicher gemacht werden kann, jedoch nicht ohne zusätzliche Arbeit.

<script>
    var jsonEncodePotentialAttendees = @Html.Raw(Json.Encode(
        new[] { new { Name = "Samuel Jack</script><script>alert('jsonEncodePotentialAttendees failed XSS test')</script>" } }
    ));
    alert('jsonEncodePotentialAttendees passed XSS test: ' + jsonEncodePotentialAttendees[0].Name);
</script>
<script>
    var safeNewtonsoftPotentialAttendees = JSON.parse(@Html.Raw(HttpUtility.JavaScriptStringEncode(JsonConvert.SerializeObject(
        new[] { new { Name = "Samuel Jack</script><script>alert('safeNewtonsoftPotentialAttendees failed XSS test')</script>" } }), addDoubleQuotes: true)));
    alert('safeNewtonsoftPotentialAttendees passed XSS test: ' + safeNewtonsoftPotentialAttendees[0].Name);
</script>
<script>
    var unsafeNewtonsoftPotentialAttendees = @Html.Raw(JsonConvert.SerializeObject(
        new[] { new { Name = "Samuel Jack</script><script>alert('unsafeNewtonsoftPotentialAttendees failed XSS test')</script>" } }));
    alert('unsafeNewtonsoftPotentialAttendees passed XSS test: ' + unsafeNewtonsoftPotentialAttendees[0].Name);
</script>

Siehe auch:

• Muss die Ausgabe von JsonConvert.SerializeObject in der Razor-Ansicht codiert werden?
• XSS-Präventionsregeln

Verwenden von Newtonsoft

<script type="text/jscript">
  var potentialAttendees  = @(Html.Raw(Newtonsoft.Json.JsonConvert.SerializeObject(Model.PotentialAttendees)))
</script>