c# - 自动编码文本输入的策略？

Question

为了防止我的应用程序因错误“检测到潜在危险的 Request.Form 值...”而崩溃，我刚刚关闭了页面验证。我想重新审视并正确解决它。

有什么好的策略吗？如果人们输入“<”和“>”，我认为保存数据的唯一方法是通过 Javacript 对其进行编码。我曾尝试在代码隐藏中捕获它，但为时已晚。我正在考虑继承文本框并使用客户端脚本自动编码/解码输入。我还必须考虑已保存在我的数据库中的所有尖括号。

对此有什么建议或经验吗？

Answer 1

我从你的回答中得知你不希望你的客户向你发送“危险”内容，因此最好将页面验证保持打开状态，作为最后一道防线，而不是将其关闭并使用 Server.HtmlEncode 在每个用户输入值上(您可能会漏掉一个，而且工作量很大)。

我会选择 javascript 解决方案，例如，您可以使用 jQuery 等库，并 Hook 表单的提交事件，并在提交前整理输入。比创建您自己的派生文本框要干净得多。

对于没有 javascript 的用户，或者试图“破解”你的小脚本的用户，sc#!w 他们，他们将到达你的最后一道防线，并得到一个错误。