ASP.NET請求驗證功能為我們提供應用程序的安全保證，避免站點受到XSS跨站腳本攻擊。但在有些時候，比如我們需要使用Ckeditor等在線文本編輯器讓用戶輸入一些HTML文本，在ASP.NET 2.0框架下，通過在web.config中設置validateRequest="false"?；蛘咴贛VC中，我們可以通過在Controller或者Action上設置[ValidateRequest(false)]這個特性來達到禁用的目的。但是在ASP.NET 4.0框架下，你會發現，即使你這樣做，仍然會提示你這樣的一個異?！癆 potentially dangerous Request.Form value was detected from the client”。這是怎么回事呢？

原來是asp.net4.0應用程序生命周期發生了變化，在之前的ASP.NET版本中，請求驗證是默認啟用的，但是它只對頁面請求有效（請求.aspx頁面），并且也只是在頁面被請求時驗證。但是在ASP.NET 4.0中，請求驗證功能被提前到IHttpHandler.BeginRequest這個方法被請求之前，這也就意味著所有進入ASP.NET請求通道的所有的HTTP請求都將會被進行請求內容合法性的驗證，包括有的自定義HttpHandler，WebService請求，甚至于利用自定義Http Module進行自定義請求處理程序。

請求驗證處理被提前的后果就是導致我們在頁面，或者Controller中設置ValidateRequest=false，將會失效，無法阻止程序不去驗證請求的輸入內容了。因為這樣做后，驗證器無法得到請求的頁面是否禁用了驗證請求，因為還沒有實例化HttpHandler。并且在ASP.NET4.0中，并沒有提供給我一個地方去禁用這個驗證功能。但是出于兼容性的考慮，ASP.NET允許我們通過在web.config中配置使用ASP.NET 2.0的請求驗證行為：<httpRuntime requestValidationMode=”2.0″ />，這樣就解決了。

Tags：

上一篇：ASP.NET:把ashx寫到類庫里并在頁面上調用的具體方法

下一篇：asp.net+jquery ajax無刷新登錄的實現方法

相關文章

文章評論

最 近 更 新

熱 點 排 行

關于我們 - 廣告合作 - 聯系我們 - 免責聲明 - 網站地圖 - 投訴建議 - 在線投稿

CopyRight © 2006-2013 腳本之家 JB51.Net , All Rights Reserved. 蘇ICP備12007328號-1
業務QQ:461478385 QQ群:14624678、36345889