asp.net-mvc-3 - 为什么我收到 "A potentially dangerous Request.Form value was detected from the client"错误？

Question

我使用“Internet 应用程序”模板创建了一个新的 ASP.NET MVC 3/.NET Framework 4.0 站点。我使用 Nuget 安装 Windows Azure Web Role (MVC3)包，然后按照Access Control Service walkthrough设置 Windows Live ID 和 Google 身份验证。

很快，我遇到了“从客户端检测到潜在危险的 Request.Form 值”错误，并按照 article in the Windows Identity Foundation wiki 进行操作。尝试解决它。不幸的是，我尝试过的任何方法都不起作用，包括:

• 设置 <httpRuntime requestValidationMode="2.0"/>和<pages validateRequest="false">在根 web.config 和 Views\web.config 中

• 正在复制 SampleRequestValidator从WIF SDK进入项目并设置<httpRuntime requestValidationType="SampleRequestValidator"/>在两个 web.config 中

我也尝试过这些的变体，但没有成功。

有什么想法吗？

这是完整的异常:

<小时/>

异常详细信息: System.Web.HttpRequestValidationException:从客户端检测到潜在危险的 Request.Form 值 (wresult="<t:RequestSecurityTo... ")。

描述:请求验证检测到潜在危险的客户端输入值，请求处理已中止。该值可能表明有人试图破坏应用程序的安全性，例如跨站点脚本攻击。要允许页面覆盖应用程序请求验证设置，请将 httpRuntime 配置部分中的 requestValidationMode 属性设置为 requestValidationMode="2.0"。示例:<httpRuntime requestValidationMode="2.0" /> 。设置此值后，您可以通过在 Page 指令或 <pages> 中设置 validateRequest="false"来禁用请求验证。配置部分。但是，强烈建议您的应用程序在这种情况下显式检查所有输入。欲了解更多信息，请参阅http://go.microsoft.com/fwlink/?LinkId=153133 。

堆栈跟踪:

[HttpRequestValidationException (0x80004005): 从客户端检测到潜在危险的 Request.Form 值 (wresult="<t:RequestSecurityTo... ")。]

System.Web.HttpRequest.ValidateString(String value, String collectionKey, RequestValidationSource requestCollection) +8755668System.Web.HttpRequest.ValidateNameValueCollection(NameValueCollection nvc, RequestValidationSource requestCollection) +122System.Web.HttpRequest.get_Form() +114Microsoft.IdentityModel.Web.WSFederationAuthenticationModule.IsSignInResponse(HttpRequest request) +75Microsoft.IdentityModel.Web.WSFederationAuthenticationModule.CanReadSignInResponse(HttpRequest request, Boolean onPage) +205Microsoft.IdentityModel.Web.WSFederationAuthenticationModule.CanReadSignInResponse(HttpRequest request) +41Microsoft.IdentityModel.Web.WSFederationAuthenticationModule.OnAuthenticateRequest(Object sender, EventArgs args) +117System.Web.SyncEventExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute() +148System.Web.HttpApplication.ExecuteStep(IExecutionStep step, Boolean& completedSynchronously) +75

<小时/>

Answer 1

您可以尝试使用 [ValidateInput(false)] 装饰您要发布到的 Controller 操作(以及引发此异常的 Controller 操作)。属性(通过将 <httpRuntime requestValidationMode="2.0"/> 留在 web.config 中)。