个人中心
文章发布
退出
作者热门文章
- html - 出于某种原因，IE8 对我的 Sass 文件中继承的 html5 CSS 不友好？
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景？
24
4
我正在尝试检查我的 MVC 应用程序的安全性。当我尝试输入 html 或 javascript 时出现错误:潜在的危险请求。
Server Error in '/' Application.
A potentially dangerous Request.Form value was detected from the client (TEKST="<html><b>joo</b></ht...").
Description: Request Validation has detected a potentially dangerous client input value, and processing of the request has been aborted. This value may indicate an attempt to compromise the security of your application, such as a cross-site scripting attack. To allow pages to override application request validation settings, set the requestValidationMode attribute in the httpRuntime configuration section to requestValidationMode="2.0". Example: <httpRuntime requestValidationMode="2.0" />. After setting this value, you can then disable request validation by setting validateRequest="false" in the Page directive or in the <pages> configuration section. However, it is strongly recommended that your application explicitly check all inputs in this case. For more information, see http://go.microsoft.com/fwlink/?LinkId=153133.
Exception Details: System.Web.HttpRequestValidationException: A potentially dangerous Request.Form value was detected from the client (TEKST="<html><b>joo</b></ht...").
Source Error:
An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.
这看起来不错，无法注入(inject) HTML 或 JavaScript。但我不喜欢的是，用户会看到我的 ASP.net 版本和所有内容。
我怎样才能消除这个错误并只给出一条消息:我不喜欢你的输入或其他什么。
我试过这样做，但没有用:
[Authorize]
public ActionResult Create(int album_id)
{
ViewBag.album_id = album_id;
return View();
}
[Authorize]
[HttpPost]
public ActionResult Create(REVIEW model)
{
string txt = null;
try
{
txt = model.TEKST;
}
catch (System.Web.HttpRequestValidationException)
{
txt = "errorrr";
}
return RedirectToAction("Add", new { tekst = txt, album_id=model.ALBUM_ID});
}
解决方案:查看 Nudier 的回答
最佳答案
您可以通过以下方式处理应用程序中的错误
1. 在您的应用程序的 Web.Config 文件中设置 CustomErros 模式部分
这是模式属性可以接受的选项列表。
RemoteOnly:为远程用户显示一般错误页面。显示丰富的错误页面本地请求(从当前计算机发出的请求)。这是默认设置。
关闭:无论请求的来源如何，都会为所有用户显示丰富的错误页面。此设置在许多开发场景中很有用，但不应在已部署的应用程序。
打开:无论错误的来源如何，都会为所有用户显示一般错误页面要求。这是最安全的选择。
<System.Web>
//map all the erros presented in the application to the error.aspx webpage
<customErrors mode="RemoteOnly" defaultRedirect ="~/error.aspx" />
<System.Web>
2. 在 Application_Error 函数中通过 Global.asax 文件
//handle all the errors presented in the application
void Application_Error(object sender, EventArgs e){
Server.Tranfer("error.aspx");
}
我希望这对你有用。
关于c# - 潜在危险请求，隐藏错误，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/11072741/
24
4
0
编辑:澄清一下，我明白为什么这段代码不起作用，我并不是要修复它，而是想了解如果这段代码可以在没有语义错误的情况下编译会有什么危险。 我发现下面的代码会导致静态语义错误。我知道这是因为 std::lis
我想知道 C# 枚举以及重复值会发生什么。我创建了以下小程序来测试: namespace ConsoleTest { enum TestEnum { FirstElem
正如我在另一个 SO 问题中指出的那样，我遇到了 this article .当我通过 MSVC7.1 编译 boost 1.40 时出现了这个问题，并且弹出了几个 C4251 警告。 现在，在阅读上
我有以下弹出窗口代码(客户端请求)。它使用 eval ，我知道这是危险的。有没有办法重写下面的脚本，使其不使用 (eval)？ /* exported popup_default , popup_he
NTFS 文件可以有对象 ID。可以使用 FSCTL_SET_OBJECT_ID 设置这些 ID .然而，msdn article说: Modifying an object identifier c
我一直在学习命令行参数解析。关于这个已经有很长的线索了，我不想在这里挑起一个: Using getopts in bash shell script to get long and short com
这个问题在这里已经有了答案: How to configure ContextMenu buttons for delete and disabled in SwiftUI? (4 个回答) 4 个月
为什么在 linux 的中断处理程序中禁止 printk 或 (I/O)。？在什么情况下中断处理程序中的 I/O 会导致 linux 系统中的死锁？ 最佳答案 关于 printk()，它是侵入性的。例
不是 Invoking virtual function and pure-virtual function from a constructor 的重复项: 以前的问题与 C++ 03 相关，而不是
我正在使用 lateinit 属性以避免使用 ?运算符(operator)。我有很多 View 属性是第一次在 getViews() 函数中分配的。如果该功能不存在，我的应用程序将与来自 Kotlin
我最近在使用 fputs 时遇到了问题:当使用 fputs 在文本文件中打印一些字符串时，我碰巧得到了除 A-Z、a-z、0-9 之外的其他字符(不属于字符串的字符) .我绝对确保所有字符串都以空字符
在仅包含字节数组的结构上使用 #pragma pack(1) 是否危险/有风险？例如。这个: #pragma pack(1) struct RpcMessage { uint8_t proto
我是一名优秀的程序员,十分优秀！