從客戶端檢測到有潛在危險的Request.Form值的asp.net代碼
2024-07-10 12:39:11
供稿：網友
1、web.config文檔<system.web>后面加入這一句：
代碼如下:
<pages validaterequest="false"/>
示例：
XML/HTML
代碼如下:
<?xml version="1.0" encoding="gb2312" ?>
<configuration>
<system.web>
<pages validaterequest="false"/>
</system.web>
</configuration>
2、在*.aspx文檔頭的page中加入validaterequest="false",示例如下：
代碼如下:
<%@ page validaterequest="false" language="c#" codebehind="index.aspx.cs" autoeventwireup="false" inherits="mybbs.webform1" %>
其實這樣做是不正確的，會給程序安全帶來風險。
ASP.Net 1.1后引入了對提交表單自動檢查是否存在XSS(跨站腳本攻擊)的能力。當用戶試圖用之類的輸入影響頁面返回結果的時候，ASP.Net的引擎會引發一個 HttpRequestValidationExceptioin。這是ASP.Net提供的一個很重要的安全特性。因為很多程序員對安全沒有概念，甚至都不知道XSS這種攻擊的存在，知道主動去防護的就更少了。ASP.Net在這一點上做到默認安全。這樣讓對安全不是很了解的程序員依舊可以寫出有一定安全防護能力的網站。
但是，當我Google搜索 HttpRequestValidationException 或者 "A potentially dangerous Request.Form value was detected from the client"的時候，驚奇的發現大部分人給出的解決方案竟然是在ASP.Net頁面描述中通過設置 validateRequest=false 來禁用這個特性，而不去關心那個程序員的網站是否真的不需要這個特性。看得我這叫一個膽戰心驚。安全意識應該時時刻刻在每一個程序員的心里，不管你對安全的概念了解多少，一個主動的意識在腦子里，你的站點就會安全很多。
為什么很多程序員想要禁止 validateRequest 呢?有一部分是真的需要用戶輸入"<>"之類的字符。這就不必說了。還有一部分其實并不是用戶允許輸入那些容易引起XSS的字符，而是討厭這種報錯的形式，畢竟一大段英文加上一個ASP.Net典型異常錯誤信息，顯得這個站點出錯了，而不是用戶輸入了非法的字符，可是自己又不知道怎么不讓它報錯，自己來處理報錯。
對于希望很好的處理這個錯誤信息，而不使用默認ASP.Net異常報錯信息的程序員們，你們不要禁用validateRequest=false。
正確的做法是在你當前頁面添加Page_Error()函數，來捕獲所有頁面處理過程中發生的而沒有處理的異常。然后給用戶一個合法的報錯信息。如果當前頁面沒有Page_Error()，這個異常將會送到Global.asax的Application_Error()來處理，你也可以在那里寫通用的異常報錯處理函數。如果兩個地方都沒有寫異常處理函數，才會顯示這個默認的報錯頁面呢。
舉例而言，處理這個異常其實只需要很簡短的一小段代碼就夠了。在頁面的Code-behind頁面中加入這么一段代碼：
