从客户端检测到潜在危险的Request.Form值

每当用户在我的web应用程序中的页面中发布包含<或>的内容时，我都会引发此异常。

我不想因为有人在文本框中输入了字符而引发异常或使整个web应用程序崩溃，但我正在寻找一种优雅的方式来处理这一问题。

捕获异常并显示

出现错误，请返回并重新键入整个表单，但这次请不要使用<

我觉得不够专业。

禁用后验证（validateRequest=“false”）肯定可以避免此错误，但这会使页面容易受到许多攻击。

理想情况下：当发生包含HTML限制字符的回发时，表单集合中的回发值将自动进行HTML编码。因此，我的文本框的.Text属性将是&lt；html&gt；

有没有办法让我从处理者那里做到这一点？

当前回答

似乎还没有人提到下面的内容，但它为我解决了这个问题。。。讨厌。

<%@ Page Language="vb" AutoEventWireup="false" CodeBehind="Example.aspx.vb" Inherits="Example.Example" **ValidateRequest="false"** %>

我不知道是否有什么缺点，但对我来说，这起到了惊人的作用。

其他回答

对于MVC，通过添加

[ValidateInput（false）]

在控制器中的每个动作之上。

您应该使用Server.HtmlEncode方法来保护您的站点免受危险输入。

此处有更多信息

如何在ASP.NET 4.6.2中修复AjaxExtControls的此问题：

我们在AjaxExtControls富文本编辑器中遇到了同样的问题。此问题在从.NET 2.0升级到.NET 4.5后立即开始。我查看了SOF的所有答案，但没有找到一个不损害.NET4.5提供的安全性的解决方案。

修复1（不推荐，因为它会降低应用程序的安全性）：我在requestValidationMode=“2.0，它起了作用，但我担心安全特性。因此，这是一个修复，就像降低了整个应用程序的安全性。

修复2（推荐）：由于这个问题只发生在AjaxExtControl中的一个，我最终能够使用下面的简单代码解决这个问题：

editorID.value = editorID.value.replace(/>/g, "&gt;");
editorID.value = editorID.value.replace(/</g, "&lt;");

在向服务器发送请求之前，在客户端（javascript）上执行此代码。注意，editorID不是我们在html.aspx页面上的ID，而是AjaxExtControl内部使用的富文本编辑器的ID。

我看到有很多关于这个的文章。。。我没有看到这一点。自.NET Framework 4.5以来，此功能一直可用

控件的ValidateRequestMode设置是一个很好的选项。这样，页面上的其他控件仍受保护。不需要更改web.config。

 protected void Page_Load(object sender, EventArgs e)
 {
     txtMachKey.ValidateRequestMode = ValidateRequestMode.Disabled;
 }

在.Net 4.0及更高版本（通常情况下）中，将以下设置放入system.web中

<system.web>
     <httpRuntime requestValidationMode="2.0" />

推荐文章