asp.net-mvc - 由于存在已知用于跨站点脚本攻击的字符，因此禁止访问

Question

谁能告诉我以下 HTTP 错误消息来自哪里:

由于存在已知用于跨站点脚本攻击的字符，因此禁止访问。本网站不允许使用可能包含嵌入 HTML 标签的 URL。

我们使用动态生成的 URL，在这种特定情况下，URL 包含字符“<”或“>”。我们对生成的 URL 进行 URL 编码(所以 '%3C' 出现而不是 '<')但它没有帮助。

我们的设置是 ASP.NET MVC/IIS 7.5/IE8。

这很奇怪，但看起来错误只出现在某些机器上。所以可能是 IE 互联网区域设置在起作用。

Answer 1

您可能正在使用第三方插件，如 SiteMinder，它试图通过拒绝包含 HTML 编码的 URL 来“保护”您的网站免受 XSS 攻击。

如果错误只出现在某些机器上而不出现在其他机器上，请检查这些机器上安装了哪些插件。删除它们，直到找到罪魁祸首(然后重新安装其他的)。尝试配置该插件以允许 URL。

想想你是否真的需要这些插件。如果某些服务器有它们而其他服务器没有，也许没有它们你会更好。