Не стоит давать пользователям возможность писать view на разоре. Даже если запускать рендеринг страниц в отдельном AppDomain, урезав права на исполнение вредоносного кода, всегда остается вероятность, что пользователь напишет что-то массивное, что будет грузить ядро процессора на 100%, из-за чего сайт станет недоступен.
Гораздо надёжнее (но и сложнее, конечно) сделать свой Domain Specific Language, который будет расширять обычный HTML специальными конструкциями, необходимыми для вашего приложения.