A potentially dangerous Request.Form value was detected from the client

最新推荐文章于 2020-04-28 20:17:32 发布

原创最新推荐文章于 2020-04-28 20:17:32 发布 · 99 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#java #html #python #vue #web

当用户在ASP.NET页面中使用富文本编辑器提交包含HTML或脚本标记的内容时，系统会抛出安全异常。这是.NET防止页面注入攻击的机制。为禁用此验证，需在.aspx文件设置ValidateRequest=false，并从.NET 4.0起，在web.config中添加requestValidationMode=2.0。然而，这样做需确保输入内容的安全，通常通过编码处理来防止注入攻击。

用户在页面上提交表单到服务器时，服务器会检测到一些潜在的输入风险，例如使用富文本编辑器控件(RichTextBox、FreeTextBox、CuteEditor等)编辑的内容中包含有HTML标记或脚本标记，ASP.NET页面会抛出一个"A potentially dangerous Request.Form value was deceted from the client"的异常。这个是ASP.NET页面为了防范页面注入功能的一种保护机制，要取消这种保护，常规的做法是在.aspx文件的<%@Page %>部分加入ValidateRequest="false"属性。但是从.NET 4.0开始你可能需要多修改一个地方，在网站的web.config文件中加入这行配置：

<system.web>
    <compilation debug="true" targetFramework="4.0"/>
    <httpRuntime requestValidationMode="2.0"/>
</system.web>

　　同时，你还需要确保页面上用户输入的部分不会存在任何注入攻击的代码，常用的做法是使用Encode处理。