ASP.NET 页面中的 ValidateRequest属性

最新推荐文章于 2019-07-25 07:41:13 发布

weixin_30859423

最新推荐文章于 2019-07-25 07:41:13 发布

阅读量77

点赞数

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/chenxizhang/archive/2010/02/28/1675260.html

本文介绍ValidateRequest属性的作用，即在ASP.NET中通过预定义的危险值列表检查输入数据以防止跨站脚本攻击等安全风险。同时讨论了如何在配置文件中启用或禁用此功能及其与其他安全设置的关系。

ValidateRequest

指示是否应发生请求验证。如果为 true，请求验证将根据具有潜在危险的值的硬编码列表检查所有输入数据。如果出现匹配情况，将引发 HttpRequestValidationException 异常。默认值为 true。

该功能在计算机配置文件 (Machine.config) 中启用。可以在应用程序配置文件 (Web.config) 中或在页上将该属性设置为 false 来禁用该功能。

注意：

该功能有助于减少对简单页或 ASP.NET 应用程序进行跨站点脚本攻击的风险。如果应用程序不能正确验证用户输入，则可能会受到多种类型的格式错误的输入的攻击，包括跨站点脚本攻击和 Microsoft SQL Server 注入式攻击。应该仔细地评估应用程序中所有形式的输入，并确保对它们进行了正确地验证和编码，或者确保应用程序在处理数据或将信息发送回客户端之前已退出。除此之外，别无它法。