Ein potenziell gefährlicher Request.Form-Wert wurde vom Client erkannt

Ich denke, Sie greifen es aus dem falschen Winkel, indem Sie versuchen zu codieren, alle veröffentlichten Daten.

Beachten Sie, dass eine "<" könnte auch aus anderen externen Quellen, wie einer Datenbank-Feld, Konfiguration, Datei, füttern und so weiter.

Darüber hinaus "<" ist nicht grundsätzlich gefährlich. Es ist nur dann gefährlich, in einem bestimmten Kontext: beim schreiben von Zeichenfolgen, die nicht codiert, um die HTML-Ausgabe (wegen XSS).

In anderen Kontexten unterschiedliche sub-strings sind gefährlich, zum Beispiel, wenn Sie schreiben, eine vom Benutzer bereitgestellte URL in einen link, der sub-string "javascript:", kann gefährlich sein. Das einfache Anführungszeichen, auf der anderen Seite gefährlich ist, wenn die Interpolation von strings in SQL-Abfragen, aber perfekt sicher, wenn es ist ein Teil von einem Namen eingereicht, die von einem Formular oder aus einer Datenbank ausgelesen Feld.

Die Quintessenz ist: Sie können nicht filtern oder zufällige Eingaben für gefährliche Charaktere, weil jeder Charakter kann gefährlich sein, unter den richtigen Umständen. Du encodieren solltest, an dem Punkt, wo einige bestimmte Zeichen können gefährlich werden, weil Sie das Kreuz in ein anderes sub-Sprache, wo Sie eine Besondere Bedeutung haben. Wenn Sie schreiben, einen string zu HTML haben, sollten Sie Zeichen Kodieren, die eine Besondere Bedeutung in HTML, Verwendung von Server.HtmlEncode. Wenn Sie eine Zeichenfolge übergeben, um eine dynamische SQL-Anweisung, sollten Sie codieren verschiedene Charaktere (oder besser, lassen Sie den Rahmen, der es für Sie tun durch die Verwendung von prepared statements oder ähnliches)..

Wenn Sie sicher sind, dass Sie HTML-codieren überall übergeben Sie strings in HTML einstellen und dann validateRequest="false" im <%@ Page ... %> Richtlinie in Ihrer .aspx Datei(en).

In .NETZ 4-Sie müssen möglicherweise ein wenig mehr zu tun. Manchmal ist es notwendig, auch hinzufügen <httpRuntime requestValidationMode="2.0" /> web.config (Referenz).

InformationsquelleAutor der Antwort JacquesB

In ASP.NET MVC (ab version 3), Sie können hinzufügen die AllowHtml - Attribut an eine Eigenschaft Ihres Modells.

Ermöglicht es eine Anfrage, um HTML-markup während der Modell-Bindung durch überspringen Validierung Anforderung für die Eigenschaft.

[AllowHtml]
public string Description { get; set; }

InformationsquelleAutor der Antwort Anthony Johnston

Für ASP.NET 4.0 können Sie Markups, die als Eingabe für bestimmte Seiten und nicht auf die gesamte Website, indem es alle in einem <location> element. Dies wird sicherstellen, dass alle anderen Seiten sind sicher. Sie NICHT brauchen, um ValidateRequest="false" in Ihr .aspx-Seite.

<configuration>
...
  <location path="MyFolder/.aspx">
    <system.web>
      <pages validateRequest="false" />
      <httpRuntime requestValidationMode="2.0" />
    </system.web>
  </location>
...
</configuration>

Ist es sicherer, die dieses Steuerelement in Ihrem web.config, da kann man sehen, an einem Standort in der Ebene, welche Seiten Markups als Eingabe.

Sie noch brauchen, um programmgesteuert überprüfen der Eingaben auf den Seiten, wo die request-Validierung ist deaktiviert.

InformationsquelleAutor der Antwort Carter Medlin

In ASP.NET MVC müssen Sie requestValidationMode="2.0" und validateRequest="false" im web.config, und eine ValidateInput-Attribut, um Ihre controller-action:

<httpRuntime requestValidationMode="2.0"/>

<configuration>
    <system.web>
        <pages validateRequest="false" />
    </system.web>
</configuration>

und

[Post, ValidateInput(false)]
public ActionResult Edit(string message) {
    ...
}

InformationsquelleAutor der Antwort ranthonissen

Für MVC, ignorieren-input-Validierung durch hinzufügen

[ValidateInput(false)]

oben jede Action im Controller.

InformationsquelleAutor der Antwort A.Dara

Bitte beachten Sie, dass einige .NET-Steuerelemente wird automatisch die HTML-Codierung der Ausgabe. Zum Beispiel, die Einstellung der .Text-Eigenschaft eines TextBox-Steuerelements wird automatisch Kodieren. Das bedeutet konkret die Umwandlung < in <> in > und & in &. Also seien Sie vorsichtig, dies zu tun...

myTextBox.Text = Server.HtmlEncode(myStringFromDatabase); //Pseudo code

Jedoch, die .Die Eigenschaft Text des HyperLink -, Druck-und Label nicht HTML codieren Dinge, so wickeln Server.HtmlEncode(); um alles, was festgelegt wird, die auf diese Eigenschaften ist ein muss, wenn Sie verhindern möchten, dass <script> window.location = "http://www.google.com"; </script> Ausgabe von in Ihre Seite ein und anschließend ausgeführt.

Tun, ein wenig Experimentieren, um zu sehen, was codiert ist und was nicht.

InformationsquelleAutor der Antwort

Im web.config-Datei, in die tags, legen Sie die httpRuntime-element mit dem Attribut requestValidationMode="2.0". Fügen Sie auch die validateRequest="false" - Attribut im pages-element.

Beispiel:

<configuration>
  <system.web>
   <httpRuntime requestValidationMode="2.0" />
  </system.web>
  <pages validateRequest="false">
  </pages>
</configuration>

InformationsquelleAutor der Antwort Mahdi jokar

Es scheint, hat niemand erwähnt die unten noch nicht, aber es behebt das Problem für mich. Und bevor jemand sagt: ja, es ist Visual Basic... igitt.

<%@ Page Language="vb" AutoEventWireup="false" CodeBehind="Example.aspx.vb" Inherits="Example.Example" **ValidateRequest="false"** %>

Ich weiß nicht, ob es irgendwelche Nachteile, aber für mich funktionierte dies erstaunlich.

InformationsquelleAutor der Antwort Piercy

In ASP.NET Sie können die Ausnahme abfangen und etwas dagegen tun, wie das anzeigen einer freundlichen Nachricht oder einer Umleitung zu einer anderen Seite... es besteht Außerdem die Möglichkeit, dass Sie verarbeiten kann die Validierung durch sich selbst...

Display freundliche Nachricht:

protected override void OnError(EventArgs e)
{
    base.OnError(e);
    var ex = Server.GetLastError().GetBaseException();
    if (ex is System.Web.HttpRequestValidationException)
    {
        Response.Clear();
        Response.Write("Invalid characters."); // Response.Write(HttpUtility.HtmlEncode(ex.Message));
        Response.StatusCode = 200;
        Response.End();
    }
}

InformationsquelleAutor der Antwort Jaider

Wenn Sie mit framework 4.0 dann den Eintrag in der web.config (<pages validateRequest="false" />)

<configuration>
    <system.web>
        <pages validateRequest="false" />
    </system.web>
</configuration>

Wenn Sie mit framework 4.5 dann wird der Eintrag in der web.config (requestValidationMode="2.0")

<system.web>
    <compilation debug="true" targetFramework="4.5" />
    <httpRuntime targetFramework="4.5" requestValidationMode="2.0"/>
</system.web>

Wenn Sie möchten, für nur eine einzige Seite, In der Sie die aspx-Datei sollten Sie die erste Zeile wie diese :

<%@ Page EnableEventValidation="false" %>

wenn Sie bereits so etwas wie <%@ Page so nur noch den rest => EnableEventValidation="false" %>

Empfehle ich, es nicht zu tun.

InformationsquelleAutor der Antwort Durgesh Pandey

War ich immer diesen Fehler auch.

In meinem Fall, ein Benutzer eingegebenen Zeichen mit Akzent á in einer Rolle, die Namen (in Bezug auf die ASP.NET die Mitgliedschaft provider).

Gebe ich den Namen der Rolle ein, um eine Methode zu gewähren Benutzer, die der Rolle und der $.ajax post-Anforderung scheiterte kläglich...

Habe ich dieses problem zu lösen:

Statt

data: { roleName: '@Model.RoleName', users: users }

Tun

data: { roleName: '@Html.Raw(@Model.RoleName)', users: users }

@Html.Raw hat den trick.

War ich immer der Rollenname als HTML-Wert roleName="Cadastro bás". Dieser Wert mit HTML-entity á wurde blockiert ASP.NET MVC. Jetzt bekomme ich die roleName parameter Wert, wie es sein sollte: roleName="Cadastro Básico" und ASP.NET MVC-Motor wird nicht blockiert die Anfrage nicht mehr.

InformationsquelleAutor der Antwort Leniel Macaferi

Deaktivieren Sie die Seite Validierung, wenn Sie wirklich brauchen, die Sonderzeichen wie>, < usw. Dann sicherstellen, wenn die Eingabe des Benutzers angezeigt, der die Daten in HTML codiert.

Gibt es eine Sicherheitslücke auf der Seite mit Validierung, so kann es umgangen werden. Auch die Seite Validierung sollte nicht ausschließlich auf die Ergebnisse verlassen.

Finden Sie unter: http://www.procheckup.com/PDFs/bypassing-dot-NET-ValidateRequest.pdf

InformationsquelleAutor der Antwort woany

Ich habe eine Lösung gefunden, die JavaScript verwendet, um die Daten zu codieren, die dekodiert werden .NET (und nicht jQuery).

• Machen die textbox ein HTML-element (wie textarea) anstelle eines ASP.
• Fügen Sie ein "verstecktes Feld".

• Fügen Sie die folgende JavaScript-Funktion auf Ihrem Kopf.

  Funktion boo() {
  targetText = document.getElementById("HiddenField1");
  Quelltext = document.getElementById("userbox");
  targetText.Wert = escape(Quelltext.innerText);
  }

In Ihrem textarea, onchange, dass Anrufe boo():

<textarea id="userbox"  onchange="boo();"></textarea>

Schließlich, in .NET, verwenden

string val = Server.UrlDecode(HiddenField1.Value);

Ich bin mir bewusst, dass diese one-way - wenn Sie brauchen, zwei-Wege-Sie müssen kreativ werden, aber dies bietet eine Lösung, wenn Sie nicht Bearbeiten können die web -.config

Hier ist ein Beispiel, das ich (MC9000) kam mit und verwenden über jQuery:

$(document).ready(function () {

    $("#txtHTML").change(function () {
        var currentText = $("#txtHTML").text();
        currentText = escape(currentText); //Escapes the HTML including quotations, etc
        $("#hidHTML").val(currentText); //Set the hidden field
    });

    //Intercept the postback
    $("#btnMyPostbackButton").click(function () {
        $("#txtHTML").val(""); //Clear the textarea before POSTing
                               //If you don't clear it, it will give you
                               //the error due to the HTML in the textarea.
        return true; //Post back
    });


});

Und das markup:

<asp:HiddenField ID="hidHTML" runat="server" />
<textarea id="txtHTML"></textarea>
<asp:Button ID="btnMyPostbackButton" runat="server" Text="Post Form" />

Diese funktioniert Super. Wenn ein hacker versucht, post per JavaScript umgehen, Sie Sie sehen nur die Fehler. Sie können speichern Sie alle diese Daten verschlüsselt in einer Datenbank als gut, dann unescape (auf der server-Seite), und parse & - Prüfung für Angriffe vor der Anzeige anderswo.

InformationsquelleAutor der Antwort Jason Shuler

Solange diese nur "<" und ">" (und nicht die Anführungszeichen selbst) Zeichen und Sie sind mit Ihnen in Zusammenhang, wie <input value="diese" /> bist du sicher (während für <textarea>diese eine</textarea> Sie wäre gefährdet natürlich). Das kann vereinfachen Ihre situation, aber für alles mehr verwenden Sie eine der anderen Lösungen gepostet.

InformationsquelleAutor der Antwort Paweł Hajdan

Keiner der Vorschläge, die für mich gearbeitet. Ich wollte nicht, um dieses feature zu deaktivieren, die für die gesamte website sowieso nicht, da 99% der Zeit in der ich nicht möchte, dass meine Benutzer die Platzierung HTML-Code auf web-Formularen. Ich schuf meine eigene Arbeit um Methode, da ich der einzige bin mit dieser bestimmten Anwendung. Ich konvertiert die Eingabe in HTML code hinter, und stecken Sie es in meine Datenbank.

InformationsquelleAutor der Antwort Mike S.