ValidateRequest=false 在.Net 4.0 中不管用

作者: Robin 分类: Asp.net 发布时间: 2010-02-03 00:29

ASP.NET 4.0验证请求(更新)

A potentially dangerous Request.Form value was detected from the client (ctl00$MainContent$txtCode=”<code></code>”).

Description: Request
Validation has detected a potentially dangerous client input value, and
processing of the request has been aborted. This value may indicate an
attempt to compromise the security of your application, such as a
cross-site scripting attack. To allow pages to override application
request validation settings, set requestValidationMode=”2.0″ in the configuration
section. After setting this value, you can then disable request
validation by setting validateRequest=”false” in the Page directive or
in the configuration section. However, it is strongly recommended that
your application explicitly check all inputs in this case. For more
information, see http://go.microsoft.com/fwlink/?LinkId=153133.

Exception Details: System.Web.HttpRequestValidationException:
A potentially dangerous Request.Form value was detected from the client
(ctl00$MainContent$txtCode=”<code></code>”).


Version Information: Microsoft .NET Framework Version:4.0.21006; ASP.NET Version:4.0.21006.1

在安装了Visual Studio 2010
Beta2之后,当页面输入框默认情况下输入“<”或者“>”的时候。按照访问策略,这将导致一些安全问题,诸如:跨站脚本攻击(cross
-site scripting attack)。而这个问题的更准确描述则是,当你在安装了.NET Framework
4.0以上版本后,当你的应用程序以.NET Framework
4.0为框架版本,你的任意服务器请求,都将被进行服务器请求验证(ValidationRequest),这不仅包括ASP.NET,同时也包括Web
Services等各种HTTP请求,不仅仅针对aspx页面,也针对HTTP Handler,HTTP
Module等,因为这个验证(Valify)的过程,将会发生在BeginRequest事件之前。

基于以上原理,在ASP.NET之前的版本中,请求验证也是默认开通的,但是发生在页面级(aspx)的,并且只在请求执行的时候生效,因此,在旧的版本中,我们只需要按以下方式配置即可:

在页面级别(aspx中)设置
ValidateRequest=”false”
或者
在全局级别(Web.config中)设置
<configuration>
    <system.web>
        <pages  validateRequest=false>

但是,以上设置仅对ASP.NET4.0以上有效。在ASP.NET4.0版本上,我们需要更多一行的配置:

在全局级别(Web.config中)设置
<configuration>
    <system.web>
        <httpRuntime  requestValidationMode=2.0 />

这一点其实在发生错误的页面中已经有说明了。在实际使用过程中,不仅如此,而且我发现requestValidationMode只要设置成小于
4.0就可以,比如:1.0,2.0,3.0,3.9都是可以的,错误提示中指明用2.0,目的只是说明用ASP.NET 2.0的默认方式进行工作。

参考链接:

如果觉得我的文章对您有用,请随意打赏。您的支持将鼓励我继续创作!

发表评论

电子邮件地址不会被公开。 必填项已用*标注

标签云