让ASP.NET接受有“潜在危险”的提交
public class HomeController : Controller {
public ActionResult Index() {
return View();
}
[HttpPost]
public ActionResult Index(string p1) {
ViewBag.P1 = p1;
return View();
}
}
再改一下View：
<!DOCTYPE html>
<html>
<head>
<meta name="viewport" content="width=device-width" />
<title>Index</title>
</head>
<body>
<div>
<p>@ViewBag.P1</p>
<form method="post">
<input type="text" name="p1" />
<input type="submit" />
</form>
</div>
</body>
</html>
代码很简单，我们尝试给p1写点值，然后回显，输入个什么“123”或者“abc”是没问题的，但如果尝试输入“<a>”或者“<script>”之类的，就会出现：
“从客户端中检测到有潜在危险的Request.Form值”，和之前的出错提示有些类似，但也有显著不同，注意看，现在的Exception变成了HttpRequestValidationException，而不是之前的HttpException了。
public class HomeController : Controller {
public ActionResult Index() {
return View();
}
[HttpPost]
public ActionResult Index(string p1) {
string p2 = Request.QueryString["p2"];
ViewBag.P1 = p1;
ViewBag.P2 = p2;
return View();
}
}
View也改一下：
<!DOCTYPE html>
<html>
<head>
<meta name="viewport" content="width=device-width" />
<title>Index</title>
</head>
<body>
<div>
<p>@ViewBag.P1</p>
<p>@ViewBag.P2</p>
<form method="post">
<input type="text" name="p1" />
<input type="submit" />
</form>
</div>
</body>
</html>
<system.web>
<httpRuntime requestPathInvalidCharacters="" requestValidationMode="2.0" /> <!--避免了URL路径的检查-->
<pages validateRequest="false"></pages> <!--避免了aspx页面对URL参数及表单数据的检查-->
</system.web>
但我们如今一般都很少用Web Form了，大家都MVC了对吧？对于ASP.NET MVC，还需要加一个全局过滤器，来避免其对URL参数及表单数据的检查，在Application_Start()中加入：
GlobalFilters.Filters.Add(new ValidateInputAttribute(false));
ALL DONE！
没有了“潜在危险”检查，假如危险真的来临了，那可怎么办？你是说XSS吗？一般情况下，如果你不需要像论坛那样让允许用户提交“富文本”的话，直接用HTML Encode来呈现数据就肯定不会有XSS问题啊，用户尝试提交一段JavaScript，你用HTML Encode了之后，提交啥，就直接在页面上显示啥，也没啥好担心的，使用到@Html.Raw的时候就要格外小心一些，差不多就OK了。但如果你真的需要允许客户提交富文本的话，情况就变得有些复杂了，有以下解决方案来避免XSS：
<a href="javascript: danger();">danger</a>
<p onclick="danger();">danger</p>
<div style="width: expression(danger());">danger</div>
看吧，防不胜防，还有各种不同的标签哦，各种onXXX事件，一些更高明的嵌套手法，唉，想做好是很难的了，这种方法不推荐！
第二种方法可以考虑使用HtmlAgilityPack这个库，用它来解释客户端提交上来的内容，一个个Tag去遍历。我建议使用“白名单”机制，只允许有限的tag，比如<a>，<p>，<div>，<ul>，<ol>，<li>等，遇到不认识的一律移除，这些标签里，也只允许有限的属性，遇到诸如“onXXX”这种不在白名单里的属性一律移除，这样就差不多了，还剩下一个比较麻烦的就是<a>标签的href属性，这个得做点特殊处理，自己判断一下这里边是否有潜在的危险，我的做法是：
static readonly Regex _regexIsSafe = new Regex("^([a-z][a-z,0-9]*):");
static bool IsLegalLink(string link) {
link = link.Trim().ToLower();
Match match = _regexIsSafe.Match(link);
if (match.Success) {
string schema = match.Groups[].Value;
if (!"http".Equals(schema) && !"https".Equals(schema)) {
return false;
}
}
return true;
}
让ASP.NET接受有“潜在危险”的提交的更多相关文章
- ASP.NET检测到有潜在危险的 Request.Form 值解决方案汇总
ASP.NET检测到有潜在危险的 Request.Form 值解决方案汇总 当我们在网站中使用CKEditor等富文本编辑器时,大多都会遇到这样的到警告 这是因为ASP.NET默认开启对页面提交内容的 ...
- 检测到有潜在危险的 Request.Form 值。 说明: ASP.NET 在请求中检测到包含潜在危险的数据
在请求方法的顶部添加 [ValidateInput(false)]就OK了 从客户端(Content=" sdfdddd ...")中检测到有潜在危险的 Reques ...
- ASP.NET MVC从客户端中检测到有潜在危险的 Request.Form 值
ASP.NET MVC4(Razor)从客户端中检测到有潜在危险的 Request.Form 值 “/”应用程序中的服务器错误. 从客户端(Content=" sdfdddd ...&quo ...
- asp.net 从客户端中检测到有潜在危险的 Request.Form 值错误解
从客户端(ftbContent="<P><A href="http://l...")中检测到有潜在危险的 Request.Form 值. 说明: 请求验 ...
- ASP.NET MVC4(Razor)从客户端中检测到有潜在危险的 Request.Form 值
SP.NET MVC4(Razor)从客户端中检测到有潜在危险的 Request.Form 值 “/”应用程序中的服务器错误. 从客户端(Content=" sdfdddd ..." ...
- asp.net从客户端检测到有潜在危险的Request.Form 值
asp.net开发中,经常遇到“从客户端检测到有潜在危险的Request.Form 值”错误提示,很多人给出的解决方案是: 1.web.config文档<system.web>后面加入这一 ...
- Asp.net mvc3的“从客户端中检测到有潜在危险的 Request.Form 值”问题解决
Asp.net mvc3的“从客户端(content_v=\",<p>\n\t<imgalt=\"\" src...\")中检测到有潜在危险的 ...
- asp.net MVC 自定义模型绑定 从客户端中检测到有潜在危险的 Request.QueryString 值
asp.net mvc 自定义模型绑定 有潜在的Requset.Form 自定义了一个模型绑定器.前端会传过来一些敏感字符.调用bindContext. valueProvider.GetValue( ...
- 解决ASP.NET MVC 检测到有潜在危险的 Request.Form 值
提交使用html编辑器编辑后的数据,由于Request时出现有HTML或JavaScript等字符串时,系统会认为是危险性值.立马报错. "从客户端 ... 中检测到有潜在危险的 Reque ...
随机推荐
- 【AR实验室】ARToolKit之Example篇
0x00 - 前言 PS : 我突然意识到ARToolKit本质可能就是一个可以实时求解相机内外参的解决方案. 拿到一个新的SDK,90%的人应该都会先跑一下Example.拿到ARToolKit的S ...
- 再讲IQueryable<T>，揭开表达式树的神秘面纱
接上篇<先说IEnumerable,我们每天用的foreach你真的懂它吗?> 最近园子里定制自己的orm那是一个风生水起,感觉不整个自己的orm都不好意思继续混博客园了(开个玩笑).那么 ...
- JAVA回调机制(CallBack)详解
序言 最近学习java,接触到了回调机制(CallBack).初识时感觉比较混乱,而且在网上搜索到的相关的讲解,要么一言带过,要么说的比较单纯的像是给CallBack做了一个定义.当然了,我在理解了回 ...
- Linux 开机时网络自动连接
简单版本: cd /etc/sysconfig/network-scripts/ vi ifcfg-enoXXX 输入:reboot重启 或者输入:service network restart ...
- ASP.NET MVC5+EF6+EasyUI 后台管理系统（68）-微信公众平台开发- 资源环境准备
系列目录 前言: 本次将学习扩展企业微信公众号功能,微信公众号也是企业流量及品牌推广的主要途径,所谓工欲善其事必先利其器,调试微信必须把程序发布外网环境,导致调试速度太慢,太麻烦! 我们需要准备妥当才 ...
- 这些.NET开源项目你知道吗？.NET平台开源文档与报表处理组件集合(三)
在前2篇文章这些.NET开源项目你知道吗?让.NET开源来得更加猛烈些吧 和这些.NET开源项目你知道吗?让.NET开源来得更加猛烈些吧!(第二辑)中,大伙热情高涨.再次拿出自己的私货,在.NET平台 ...
- Android业务组件化之现状分析与探讨
前言: 从个人经历来说的话,从事APP开发这么多年来,所接触的APP的体积变得越来越大,业务的也变得越来越复杂,总来来说只有一句话:这是一个APP臃肿的时代!所以为了告别APP臃肿的时代,让我们进入一 ...
- SQL Server-聚焦查询计划Stream Aggregate VS Hash Match Aggregate（二十）
前言 之前系列中在查询计划中一直出现Stream Aggregate,当时也只是做了基本了解,对于查询计划中出现的操作,我们都需要去详细研究下,只有这样才能对查询计划执行的每一步操作都了如指掌,所以才 ...
- 阿里云学生优惠Windows Server 2012 R2安装IIS，ftp等组件，绑定服务器域名，域名解析到服务器，域名备案，以及安装期间错误的解决方案
前言: 这几天终于还是按耐不住买了一个月阿里云的学生优惠.只要是学生,在学信网上注册过,并且支付宝实名认证,就可以用9块9的价格买阿里云的云服务ECS.确实是相当的优惠. 我买的是Windows S ...
- redis成长之路——（一）
为什么使用redis Redis适合所有数据in-momory的场景,虽然Redis也提供持久化功能,但实际更多的是一个disk-backed的功能,跟传统意义上的持久化有比较大的差别,那么可能大家就 ...