c# - 网络 :MaxJsonDeserializerMembers vs maxRequestLength

Question

我遇到了类似JSON 请求太大而无法反序列化的错误。。

stackoverflow 上的快速搜索告诉您应该将 appSetting aspnet:MaxJsonDeserializerMembers 设置得更高以解决此问题。然而，msdn appSettings 上的文档说

  Caution
  Setting this attribute to too large a number can pose a security risk.

我希望您被警告不要将此值设置为更高的数字，以防止任何人提交可能影响您的系统的大量有效负载。但是，考虑到我已经将 ma​​xRequestLength 的值设置为一个很大的数字，更改 aspnet:MaxJsonDeserializerMembers 值是否会有任何其他安全隐患？

我看不出 1001 个小的 json 成员如何构成比单个大 json 对象更多的安全威胁。

Answer 1

ASP.NET 应用程序拒绝包含超过 1000 个此类元素的请求。

https://support.microsoft.com/en-us/kb/2661403

安全公告 MS11-100 解决的 Microsoft 安全更新将 ASP.NET 在请求中接受的表单键、文件和 JSON 成员的默认最大数量更改为 1,000。进行此更改是为了解决 Microsoft 安全公告 MS11-100 documents. 中的拒绝服务漏洞。