Ein potenziell gefährlicher Request.Form-Wert wurde vom Client erkannt

Question

Jedes Mal, wenn ein Nutzer einen Beitrag mit < ou > in einer Seite in meiner Webanwendung, bekomme ich diese Ausnahme ausgelöst.

Ich möchte nicht in die Diskussion über die Klugheit des Auslösens einer Ausnahme oder des Absturzes einer gesamten Webanwendung gehen, weil jemand ein Zeichen in ein Textfeld eingegeben hat, aber ich suche nach einer eleganten Möglichkeit, dies zu behandeln.

Abfangen der Ausnahme und Anzeigen

Es ist ein Fehler aufgetreten. Bitte gehen Sie zurück und geben Sie das gesamte Formular noch einmal ein, aber verwenden Sie dieses Mal bitte nicht <

scheint mir nicht professionell genug zu sein.

Deaktivieren der Nachvalidierung ( validateRequest="false" ) wird dieser Fehler definitiv vermieden, aber die Seite ist dadurch anfällig für eine Reihe von Angriffen.

Idealerweise: Wenn eine Rückmeldung erfolgt, die in HTML eingeschränkte Zeichen enthält, wird der gepostete Wert in der Formularsammlung automatisch HTML-kodiert. So wird der .Text Eigenschaft meines Textfeldes wird sein something & lt; html & gt;

Gibt es eine Möglichkeit, wie ich dies von einem Handler aus tun kann?

Answer 1

Die vorherigen Antworten sind großartig, aber niemand hat gesagt, wie man ein einzelnes Feld von der Überprüfung auf HTML/JavaScript-Injektionen ausschließen kann. Ich weiß nicht, über frühere Versionen, aber in MVC3 Beta können Sie dies tun:

[HttpPost, ValidateInput(true, Exclude = "YourFieldName")]
public virtual ActionResult Edit(int id, FormCollection collection)
{
    ...
}

Dadurch werden immer noch alle Felder außer dem ausgeschlossenen validiert. Das Schöne daran ist, dass Ihre Validierungsattribute das Feld immer noch validieren, aber Sie erhalten einfach nicht die Ausnahmen "Ein potenziell gefährlicher Request.Form-Wert wurde vom Client erkannt".

Ich habe dies zur Validierung eines regulären Ausdrucks verwendet. Ich habe mein eigenes ValidationAttribute erstellt, um zu sehen, ob der reguläre Ausdruck gültig ist oder nicht. Da reguläre Ausdrücke etwas enthalten können, das wie ein Skript aussieht, habe ich den obigen Code angewendet - der reguläre Ausdruck wird immer noch daraufhin überprüft, ob er gültig ist oder nicht, aber nicht darauf, ob er Skripte oder HTML enthält.

Answer 2

In ASP.NET MVC müssen Sie requestValidationMode="2.0" und validateRequest="false" in web.config festlegen und ein ValidateInput-Attribut auf Ihre Controller-Aktion anwenden:

<httpRuntime requestValidationMode="2.0"/>

<configuration>
    <system.web>
        <pages validateRequest="false" />
    </system.web>
</configuration>

y

[Post, ValidateInput(false)]
public ActionResult Edit(string message) {
    ...
}

Answer 3

Sie können HTML kodieren Inhalt des Textfeldes, aber leider verhindert das nicht, dass die Ausnahme auftritt. Meiner Erfahrung nach gibt es keinen Ausweg, und Sie müssen die Seitenvalidierung deaktivieren. Damit sagen Sie: "Ich bin vorsichtig, ich verspreche es."

Answer 4

Die Antwort auf diese Frage ist einfach:

var varname = Request.Unvalidated["parameter_name"];

Dadurch wird die Validierung für die jeweilige Anfrage deaktiviert.

Answer 5

Sie können diesen Fehler in Global.asax abfangen. Ich möchte trotzdem validieren, aber eine entsprechende Meldung anzeigen. Auf dem unten aufgeführten Blog war ein Beispiel wie dieses verfügbar.

    void Application_Error(object sender, EventArgs e)
    {
        Exception ex = Server.GetLastError();

        if (ex is HttpRequestValidationException)
        {
            Response.Clear();
            Response.StatusCode = 200;
            Response.Write(@"[html]");
            Response.End();
        }
    }

Die Weiterleitung auf eine andere Seite scheint auch eine angemessene Reaktion auf die Ausnahme zu sein.

http://www.romsteady.net/blog/2007/06/how-to-catch-httprequestvalidationexcep.html