discuz ASP.NET 4.0验证请求 A potentially dangerous Request.Form value was detected from the client

最新推荐文章于 2019-07-31 22:42:01 发布

转载最新推荐文章于 2019-07-31 22:42:01 发布 · 3.1k 阅读

文章标签：

#asp.net #validation #application #scripting #服务器 #processing

web常见问题专栏收录该内容

12 篇文章

订阅专栏

本文解决ASP.NET 4.0环境下因请求验证导致的错误问题，提供了具体的配置示例，帮助读者理解如何调整Web.config文件来禁用或修改请求验证模式。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

服务器系统使用Windows 2003，ASP.NET 4.0，Discuz.Net版本

发表新贴子报错如下：

Server Error in '/' Application.

A potentially dangerous Request.Form value was detected from the client (topicsubmit="<SPAN>发表帖子</SPAN>").

Description: Request Validation has detected a potentially dangerous client input value, and processing of the request has been aborted. This value may indicate an attempt to compromise the security of your application, such as a cross-site scripting attack. To allow pages to override application request validation settings, set the requestValidationMode attribute in the httpRuntime configuration section to requestValidationMode="2.0". Example: <httpRuntime requestValidationMode="2.0" />. After setting this value, you can then disable request validation by setting validateRequest="false" in the Page directive or in the <pages> configuration section. However, it is strongly recommended that your application explicitly check all inputs in this case. For more information, see http://go.microsoft.com/fwlink/?LinkId=153133.

Exception Details: System.Web.HttpRequestValidationException: A potentially dangerous Request.Form value was detected from the client (topicsubmit="<SPAN>发表帖子</SPAN>").

当你在安装了.NET Framework 4.0以上版本后，当你的应用程序以.NET Framework 4.0为框架版本，你的任意服务器请求，都将被进行服务器请求验证（ValidationRequest），这不仅包括ASP.NET，同时也包括Web Services等各种HTTP请求，不仅仅针对aspx页面，也针对HTTP Handler，HTTP Module等，因为这个验证（Valify）的过程，将会发生在BeginRequest事件之前。

基于以上原理，在ASP.NET之前的版本中，请求验证也是默认开通的，但是发生在页面级（aspx）的，并且只在请求执行的时候生效，因此，在旧的版本中，我们只需要按以下方式配置即可：

在页面级别（aspx中）设置
ValidateRequest="false"
或者
在全局级别（Web.config中）设置
<configuration>
<system.web>
<pages validateRequest="false">

但是，以上设置仅对ASP.NET4.0以上有效。在ASP.NET4.0版本上，我们需要更多一行的配置：

在全局级别（Web.config中）设置
<configuration>
<system.web>
<httpRuntime requestValidationMode="2.0">

这一点其实在发生错误的页面中已经有说明了。在实际使用过程中，不仅如此，而且我发现requestValidationMode只要设置成小于4.0就可以，比如：1.0，2.0，3.0，3.9都是可以的，错误提示中指明用2.0，目的只是说明用ASP.NET 2.0的默认方式进行工作。