asp.net4.0框架下验证机制失效的原因及处理办法

ASP.NET请求验证功能为我们提供应用程序的安全保证，避免站点受到XSS跨站脚本攻击。但在有些时候，比如我们需要使用Ckeditor等在线文本编辑器让用户输入一些HTML文本，在ASP.NET 2.0框架下，通过在web.config中设置validateRequest="false"。或者在MVC中，我们可以通过在Controller或者Action上设置[ValidateRequest(false)]这个特性来达到禁用的目的。但是在ASP.NET 4.0框架下，你会发现，即使你这样做，仍然会提示你这样的一个异常“A potentially dangerous Request.Form value was detected from the client”。这是怎么回事呢？

原来是asp.net4.0应用程序生命周期发生了变化，在之前的ASP.NET版本中，请求验证是默认启用的，但是它只对页面请求有效（请求.aspx页面），并且也只是在页面被请求时验证。但是在ASP.NET 4.0中，请求验证功能被提前到IHttpHandler.BeginRequest这个方法被请求之前，这也就意味着所有进入ASP.NET请求通道的所有的HTTP请求都将会被进行请求内容合法性的验证，包括有的自定义HttpHandler，WebService请求，甚至于利用自定义Http Module进行自定义请求处理程序。

请求验证处理被提前的后果就是导致我们在页面，或者Controller中设置ValidateRequest=false，将会失效，无法阻止程序不去验证请求的输入内容了。因为这样做后，验证器无法得到请求的页面是否禁用了验证请求，因为还没有实例化HttpHandler。并且在ASP.NET4.0中，并没有提供给我一个地方去禁用这个验证功能。但是出于兼容性的考虑，ASP.NET允许我们通过在web.config中配置使用ASP.NET 2.0的请求验证行为：<httpRuntime requestValidationMode=”2.0″ />，这样就解决了。

赞 (0)

相关推荐

  • asp.net 请求输入到输出的全过程及httpHandler和httpModuler详细介绍

    asp.net 请求输入到输出的全过程及httpHandler和httpModuler详细介绍

    最近看了几篇讲述httpHandler和HttpModuler的文章,总的来说还是Fish li的那篇文章给力,但是他是大牛,他写出来的文章技术含量太高,对于像我这样的小兵, 要完全看懂估计需要看几遍.虽然说没有完全了解底层操作,但是我也算明白了一个请求从进入IIS到最后输出都经历了哪些过程.说实话,原来我以为.Net的类的子 类都是设计者自己设计的,没有考虑到真正的程序员是否可以完全掌握.了解了底层操作,我发现我的那个观点是多么的无知,每个.Net的类都是对应现实中的一种对 象,比如说Mvc3

  • Asp.net请求处理之管道处理介绍

    在了解Asp.net请求处理流程的过程中,个人认为有必要从源代码的角度来了解asp.net管道是怎么实现的. 在此之前大家有必要了解一些asp.net请求流程的基本东东,如ASP.NET 请求处理流程.Asp.net管道.ASP.NET管线与应用程序生命周期 我们大家都知道HttpRuntime主要的方法是 public static void ProcessRequest(HttpWorkerRequest wr) 复制代码 代码如下: private void ProcessRequestI

  • ASP.NET MVC处理文件上传的小例子

    复制代码 代码如下: <asp:Content ID="Content2" ContentPlaceHolderID="MainContent" runat="server"> <h2>Files uploaded to server</h2> <div id="dialog" title="Upload files"> <% using (Html.B

  • asp.net通过HttpModule自动在Url地址上添加参数

    然而手机客户端又不支持Session和Cookie传值,其他方法给页面赋值再传值显得太麻烦了,而且还不易维护,容易弄丢出错,于是想到了用HttpModule来把cid参数赋在Url地址上,让url把cid参数每页自动传递下去,需要用cid时只要通过Requet["cid"]获取,这样就不用为传值而烦恼了. 以下是配置方法和源码. 1)在web.config配置文件中添加以下节点 复制代码 代码如下: <httpModules> <add name="Http

  • ASP.NET 回发密码框清空问题处理方法

    在Page_Load里面加上 复制代码 代码如下: this.txtPassword.Attributes["value"] = this.txtPassword.Text;

  • Asp.net实现MVC处理文件的上传下载功能实例教程

    上传于下载功能是程序设计中非常常见的一个功能,在ASP.NET程序开发中有着非常广泛的应用.本文就以实例形式来实现这一功能. 一.概述 如果你仅仅只有Asp.net Web Forms背景转而学习Asp.net MVC的,我想你的第一个经历或许是那些曾经让你的编程变得愉悦无比的服务端控件都驾鹤西去了.FileUpload就是其中一个,而这个控件的缺席给我们带来一些小问题.这篇文章主要说如何在Asp.net MVC中上传文件,然后如何再从服务器中把上传过的文件下载下来. 二.实现方法 1.文件上传

  • ASP.NET mvc异常处理的方法示例介绍

    1.首先常见保存异常的类(就是将异常信息写入到文件中去) 复制代码 代码如下: public class LogManager { private string logFilePath = string.Empty; public LogManager(string logFilePath) { this.logFilePath = logFilePath; FileInfo file = new FileInfo(logFilePath); if (!file.Exists) { file.C

  • ASP.NET中在一般处理程序中使用session的简单介绍

    复制代码 代码如下: <%@ WebHandler Language="C#" Class="ChangePwd" %> using System; using System.Web; using System.Web.SessionState; public class ChangePwd : IHttpHandler, IReadOnlySessionState { public void ProcessRequest (HttpContext co

  • asp.net上传图片并作处理水印与缩略图的实例代码

    方法类: 复制代码 代码如下: upFileClass.cs using System;using System.Data;using System.Configuration;using System.Web;using System.Web.Security;using System.Web.UI;using System.Web.UI.WebControls;using System.Web.UI.WebControls.WebParts;using System.Web.UI.HtmlC

  • 拦截asp.net输出流并进行处理的方法

    本文实例主要实现对已经生成了HTML的页面做一些输出到客户端之前的处理. 方法的实现原理是:把Response的输出重定向到自定义的容器内,也就是我们的StringBuilder对象里,在HTML所有的向页面输出都变成了向StringBuilder输出,然后我们对StringBuilder处理完成之后,再把Response的输出重定向到原来的页面上,然后再通过Response.Write方法把StringBuilder的内容输出到页面上. 这里之所以用反射,是因为Response对象的OutPu

  • asp.net错误页面处理示例分享

    1.新建Golbal.asax 复制代码 代码如下: void Application_Error(object sender, EventArgs e) {    Exception objErr = Server.GetLastError().GetBaseException();    string error = "发生异常页: " + Request.Url.ToString() + "<br>";    error += "异常信息

随机推荐