zoukankan      html  css  js  c++  java
  • 解决“检测到有潜在危险的Request.Form值”

    先看如下 web.config 的代码:

    <system.web> 
        <compilation debug="true" targetFramework="4.0"/> 
        <httpRuntime requestValidationMode="2.0" /> 
        <pages validateRequest="false"></pages> 
    </system.web>

    validateRequest 这句我们知道是关闭验证,也就是说提交带标签,比如 <strong>粗体</strong> 这样的值时,ASP.NET 不会报错。

    但在 4.0 中还多了一个 requestValidationMode,这是什么意思呢?

    requestValidationMode 有两个值:

    • 2.0仅对网页启用请求验证。是启用还是关闭取决于 validateRequest。
    • 4.0 默认值。任何 HTTP 请求都会启用请求验证,也就是说不光是网页,还包括 Cookie 等。此时强制启用,不管 validateRequest 为何值。

    由于 requestValidationMode="4.0" 是强制启用,所以我们会发现在 .NET Framework 4.0 中仅靠设置 validateRequest 是关闭不了请求验证的,还得将 requestValidationMode 设置为 2.0。

    ASP.NET中的请求验证特性提供了某一等级的保护措施防止XSS攻击,之前版本的ASP.NET的请求验证是默认启动的,但是他紧紧应用于ASP.NET页面中(.aspx文件和.aspx.cs文件)。

    而在ASP.NET4中,请求验证默认对所有类型的请求启动,因为它在BeginRequest被调用之前启动,结果就是对所有资源的请求都要经过请求验证,而不仅仅在.aspx文件和他们的类文件中,甚至包括web service和自定义的httphandler。同样,在自定义httpmodules读取http请求的时候,同样要经过请求验证。

    上述原因引发的最终结果就是在ASP.NET4中会引发请求错误,例如检测到有潜在危险的Request.Form值等等,为了解决这个问题,可以通过将验证模式设置为ASP.NET之前的版本。具体步骤是在web.config中加入以下配置:

    <httpRuntime requestValidationMode=”2.0″ />

    设置了请求模式后,再设置

    <system.web>
    <pages validaterequest=”false”/>
    </system.web>

    MVC框架中,在控制方法前加入:

    [ValidateInput(false)]属性。

  • 相关阅读:
    函数响应式编程及ReactiveObjC学习笔记 (-)
    Flask的第一个应用
    Django错误 OperationalError: no such column: xxx
    Python高级数据类型模块collections
    wsgiref 源码解析
    WSGI文档(中文版)
    Python:树的遍历
    Django+haystack实现全文搜索出现错误 ImportError: cannot import name signals
    Django+Celery+Redis实现异步任务(发送邮件)
    Python面向对象—类的继承
  • 原文地址:https://www.cnblogs.com/sunzhenyong/p/4434362.html
Copyright © 2011-2022 走看看