[asp.net] 클라이언트에서 잠재적으로 위험한 Request.Form 값이 발견되었습니다.

게시 된 모든 데이터를 인코딩하여 잘못된 각도에서 공격하고 있다고 생각합니다.

“< “는 데이터베이스 필드, 구성, 파일, 피드 등과 같은 다른 외부 소스에서도 발생할 수 있습니다.

또한 “< “는 본질적으로 위험하지 않습니다. 특정 상황에서만 위험합니다 : (XSS로 인해) HTML 출력으로 인코딩되지 않은 문자열을 쓸 때.

다른 상황에서는 다른 하위 문자열이 위험합니다. 예를 들어 사용자가 제공 한 URL을 링크에 쓰면 하위 문자열 ” javascript:“이 위험 할 수 있습니다. 반면에 작은 따옴표 문자는 SQL 쿼리에서 문자열을 보간 할 때 위험하지만 양식에서 제출되거나 데이터베이스 필드에서 읽은 이름의 일부인 경우 완벽하게 안전합니다.

결론은 위험한 문자에 대해 임의의 입력을 필터링 할 수 없다는 것입니다. 올바른 상황에서 문자가 위험 할 수 있기 때문입니다. 일부 특정 문자는 특별한 의미가있는 다른 하위 언어로 넘어 가기 때문에 위험 할 수있는 지점에서 인코딩해야합니다. HTML에 문자열을 쓸 때는 Server.HtmlEncode를 사용하여 HTML에 특별한 의미가있는 문자를 인코딩해야합니다. 문자열을 동적 SQL 문에 전달하는 경우 다른 문자를 인코딩해야합니다 (또는 더 나은 경우에는 준비된 명령문 등을 사용하여 프레임 워크에서이를 수행하도록하십시오).

때 당신이 HTML로 문자열을 통과 어디서나 당신은 당신이 HTML 인코딩이며, 다음 설정 validateRequest="false"에 <%@ Page ... %>당신의 지시어 .aspx파일 (들).

.NET 4에서는 조금 더해야 할 수도 있습니다. 때로는 <httpRuntime requestValidationMode="2.0" />web.config ( reference ) 에도 추가 해야 합니다.

답변

[HttpPost, ValidateInput(false)]
public ActionResult Edit(FormCollection collection)
{
    // ...
}

<AcceptVerbs(HttpVerbs.Post), ValidateInput(False)> _
Function Edit(ByVal collection As FormCollection) As ActionResult
    ...
End Function

[AllowHtml]
public string Description { get; set; }

<httpRuntime requestValidationMode="2.0" />

requestValidationMode="2.0"

validateRequest="false"

<configuration>
...
  <location path="MyFolder/.aspx">
    <system.web>
      <pages validateRequest="false" />
      <httpRuntime requestValidationMode="2.0" />
    </system.web>
  </location>
...
</configuration>

[HttpPost, ValidateInput(true, Exclude = "YourFieldName")]
public virtual ActionResult Edit(int id, FormCollection collection)
{
    ...
}

<httpRuntime requestValidationMode="2.0"/>

<configuration>
    <system.web>
        <pages validateRequest="false" />
    </system.web>
</configuration>

[Post, ValidateInput(false)]
public ActionResult Edit(string message) {
    ...
}