从客户端检测到有潜在危险的Request.Form值时的处理办法

最新推荐文章于 2026-01-05 16:22:59 发布

转载最新推荐文章于 2026-01-05 16:22:59 发布 · 464 阅读

文章标签：

#asp.net #javascript #html #object #脚本 #exception

技术类专栏收录该内容

4 篇文章

订阅专栏

本文探讨了ASP.NET中XSS防御机制的工作原理及其对表单提交的影响。介绍了两种禁用此功能的方法，并强调了这样做所带来的安全风险。推荐了一种更安全的做法：通过捕获HttpRequestValidationException异常并给出友好的错误提示。

出现这个问题主要是由于在提交的对象中有含有HTML，JavaScript代码的字符，被浏览器认为是脚本攻击，拦截造成的。

原因：

ASP.Net 1.1后引入了对提交表单自动检查是否存在XSS(跨站脚本攻击)的能力。当用户试图用之类的输入影响页面返回结果的时候，ASP.Net的引擎会引发一个 HttpRequestValidationExceptioin。这是ASP.Net提供的一个很重要的安全特性。ASP.Net在这一点上做到默认安全。这样让对安全不是很了解的程序员依旧可以写出有一定安全防护能力的网站。

　针对这个问题大部分给出的解决办法是放弃默认安全设置。

主要有两种解决办法：

第一种：web.config文档<system.web>后面加入这一句： <pages validaterequest="false"/>

示例：
<?XML version="1.0" encoding="gb2312" ?>
<configuration>
<system.web>
<pages validaterequest="false"/>
</system.web>
</configuration>

第二种：在*.aspx文档头的page中加入validaterequest="false",示例如下：
<%@ page validaterequest="false" language="c#" codebehind="index.aspx.cs" autoeventwireup="false" inherits="mybbs.webform1" %>

这两种方法虽然能从表面上解决报错的问题，但是却带来了极大的安全风险，不推荐使用。

一类比较正确的人性化的解决办法是捕获这类错误，给出合理有好的错误提示信息。方法可参考如下：

在当前页面添加Page_Error()函数，来捕获所有页面处理过程中发生的而没有处理的异常。然后给用户一个合法的报错信息。如果当前页面没有Page_Error()，这个异常将会送到Global.asax的Application_Error()来处理，也可以在那里写通用的异常报错处理函数。如果两个地方都没有写异常处理函数，才会显示这个默认的报错页面呢。

　　举例而言，处理这个异常其实只需要很简短的一小段代码就够了。在页面的Code-behind页面中加入这么一段代码：

 
  protected
   
  void
   Page_Error(
  object
   sender, EventArgs e)
{
    Exception ex 
  =
   Server.GetLastError();
    
  if
   (HttpContext.Current.Server.GetLastError() 
  is
   HttpRequestValidationException)
    {
        HttpContext.Current.Response.Write(
  "
  请输入合法的字符串【<a href=\"Javascript:history.back(0);\">返回</a>】
  "
  );
        HttpContext.Current.Server.ClearError();
    }
}

　　这样这个程序就可以截获 HttpRequestValidationException 异常，而且可以按照程序员的意愿返回一个合理的报错信息。如果只是需要异常处理，那么请用类似于上面的代码来处理即可。

　　而对于那些通过明确禁止了这个特性的程序员，自己一定要明白自己在做什么，而且一定要自己手动的检查必须过滤的字符串，否则你的站点很容易引发跨站脚本攻击。

微软给出的关于存在Rich Text Editor的页面应该如何处理?

　　如果页面有富文本编辑器的控件的，那么必然会导致有类的HTML标签提交回来。在这种情况下，我们不得不将validateRequest="false"。那么安全性怎么处理?

　　根据微软的建议，我们应该采取安全上称为“默认禁止，显式允许”的策略。

　　首先，我们将输入字符串用 HttpUtility.HtmlEncode()来编码，将其中的HTML标签彻底禁止。

　　然后，我们再对我们所感兴趣的、并且是安全标签，通过Replace()进行替换。比如，我们希望有""标签，那么我们就将""显式的替换回""。

 
  void
   submitBtn_Click(
  object
   sender, EventArgs e) 
{ 
    
  //
  将输入字符串编码，这样所有的HTML标签都失效了。 
  

      StringBuilder sb 
  =
   
  new
   StringBuilder(HttpUtility.HtmlEncode(htmlInputTxt.Text)); 
    
  //
  然后我们选择性的允许<b> 和 <i> 
  

      sb.Replace(
  "
  &lt;b&gt;
  "
  , 
  "
  <b>
  "
  ); 
    sb.Replace(
  "
  &lt;/b&gt;
  "
  , 
  "
  </b>
  "
  ); 
    sb.Replace(
  "
  &lt;i&gt;
  "
  , 
  "
  <i>
  "
  ); 
    sb.Replace(
  "
  &lt;/i&gt;
  "
  , 
  "
  </i>
  "
  ); 
    Response.Write(sb.ToString()); 
}

这样我们即允许了部分HTML标签，又禁止了危险的标签。

根据微软提供的建议，我们要慎重允许下列HTML标签，因为这些HTML标签都是有可能导致跨站脚本攻击的。

可能这里最让人不能理解的是<img>。但是，看过下列代码后，就应该明白其危险性了。
<img src="javascript:alert('hello');">