C# ASP.NET MVC 手动访问 Request.Form 和潜在危险值

Question

我正在为每个用户请求序列化表单和查询字符串数据并将其保存到数据库中。这个特定的提交模型已经具有 [AllowHtml] 属性并且可以很好地提交给 Controller 。问题出在我记录请求的 Global.asax 文件中，当我访问此表单值时出现异常:

"A potentially dangerous Request.Form value was detected from the client (...)."

protected void Application_PostRequestHandlerExecute(Object sender, EventArgs e)
{
    ...
    var serializer = new JavaScriptSerializer();
    var formData = (Request.Form.Count == 0) ? "" : serializer.Serialize(Request.Form.AllKeys.Where(x => x != null).ToDictionary(k => k, k => Request.Form[k]));
    ...
}

当它尝试访问包含无效字符的 Request.Form[k] 时会抛出错误。

Answer 1

使用 Request.Form[] 访问值将触发请求验证(因此异常(exception))。您可以使用 HttpRequest 的 Unvalidated 属性来获取请求值而不触发验证。

替换

Request.Form[k]

与

Request.Unvalidated.Form[k]

谨慎使用 - 来自 documentation :

Security Note: If you use this property, you must manually check the data for potential cross-site scripting attacks.