發現 ASP.NET Core 有個特性造成困擾。
我們都知道在 cshtml 以 @textFromServerSide 嵌入字串時，預設會被 HtmlEncode 以防止 Cross-Site Scripting 攻擊，如要將字串視為 HTML 標籤處理需額外呼叫 Html.Raw()。但在 ASP.NET Core 裡，結果跟我原本想像不同，例如以下 cshtml，表面上看來正常，中文正常顯示：
@{
Layout = null;
}<html><body><div>
Chinese Text = @("<b>中文測試</b>")</div></body></html>檢視網頁原始碼卻讓我大吃一驚，中文字元都被轉成 &#xhhhh; 形式! 若以 UTF-8 編碼計算，每個中文字元由 3 Bytes 變成 8 Bytes 增肥近三倍，而更令人困擾的一點，原始碼裡的中文字消失讓網頁偵錯難度驟升好幾個等級。
爬文找到解法，Prevent Cross-Site Scripting (XSS) in ASP.NET Core - Microsoft Docs文件提到 ASP.NET Core 的 TagHelper 及 HtmlHelper 預設會將所有非拉丁字元都當成特殊符號進行編碼，但此一設計對中文、西里爾文(斯拉夫語族)網頁開發者很不友善。所幸這個行為可透過設定調整，前幾天談 UrlEncode時提到 .NET Core 新推出的 System.Text.Encodings.Web.HthmlEncoder 就用在這裡。而修改方法為在 Startup.cs ConfigureServices() 加入以下程式片段，將 ASP.NET Core cshtml 透過 DI 取得的 HtmlEcoder 換成我們的自訂版本：
services.AddSingleton<HtmlEncoder>(HtmlEncoder.Create(allowedRanges: new[] { UnicodeRanges.BasicLatin, UnicodeRanges.CjkUnifiedIdeographs }));
自訂版 HtmlEcoder 將基本拉丁字元與中日韓字元納入允許範圍不做轉碼。
經過這番手腳，網頁原始碼總算清爽多了，阿彌陀佛~
