ASP.Net 验证区域性名称

Question

我们有一个利用 asp.net 2.0 文化的多语言网站。 当前区域性是通过重写为查询字符串的 url 设置的。 （~/es/blah.aspx 是 ~/blah.aspx 的西班牙语版本 - 重写为 ~/blah.aspx?lang=es）

测试区域性的代码如下：

    System.Globalization.CultureInfo ci;
    try
    {
        ci = new System.Globalization.CultureInfo(Request.QueryString["lang"] ?? string.Empty);
    }
    catch
    {
        ci = new System.Globalization.CultureInfo(string.Empty);
    }

如果没有设置区域性，则默认英语，127。当存在文化时，该页面上的所有链接都会在前面加上正确的文化名称。

蜘蛛以某种方式获取了一些 ~/www.test.com/blah.aspx 形式的链接，并用 www.test.com 的文化来攻击我们的网站，并淹没了我们的错误记录。

除了捕获异常之外，还有什么方法可以测试区域性名称是否有效？

Answer 1

我想我可以快速测量这个，所以创建了一个快速控制台应用程序。

它基本上使用所有 3 种方法（构造函数、LINQ 和 foreach）在循环中 10000 次从字符串中获取 CultureInfo。 为了简洁起见，我删除了秒表和控制台输出。

string culture = "en-GB";
CultureInfo[] cultures = CultureInfo.GetCultures(CultureTypes.SpecificCultures);
for (int i = 0; i < 10000; i++)
{
    try
    {
        CultureInfo c = new CultureInfo(culture);
    }
    catch
    {
    }
}
for (int i = 0; i < 10000; i++)
{
    CultureInfo c = cultures.FirstOrDefault((x) => x.Name == culture);
}
for (int i = 0; i < 10000; i++)
{
    foreach (CultureInfo c in cultures)
    {
        if (c.Name == culture)
            break;
    }
}

结果如下...

Try Catch: 00:00:00.0023860
LINQ: 00:00:00.0542459
ForEach: 00:00:00.0238937

如果删除cultures 变量并在每次迭代时调用它，则 LINQ 和 ForEach 循环大约需要 2.5 秒。

因此，如果您希望获得大量有效输入而仅获得奇数无效输入，那么使用构造函数是有利的。 但是，如果您更改输入从 en-GB 到 TEST 的值，那么情况就会发生巨大变化。

Invalid Culture Try Catch: 00:00:39.7163513
Invalid Culture LINQ: 00:00:00.0791752
Invalid Culture ForEach: 00:00:00.0291480

显然我的测试应用程序不是现实世界的场景，但由于 OP 说这是根据每个请求调用的，我可以想象在大型 Web 应用程序中此代码可能会被多次调用。 它可能是拒绝或服务向量，通过向 Web 服务器发送垃圾邮件，这些请求都具有无效的区域性参数，从而占用所有 CPU。

Answer 2

与已经声明的答案几乎相同，只是使用更紧凑的 linq 表达式：

private static bool IsValidCultureInfoName(string name)
{
    return 
        CultureInfo
        .GetCultures(CultureTypes.SpecificCultures)
        .Any(c => c.Name == name);
}

Answer 3

您不必使用 LINQ：

private static bool IsValidCultureName(string cultureName)
{
    CultureInfo[] cultures =
        CultureInfo.GetCultures(CultureTypes.SpecificCultures);
    foreach (CultureInfo culture in cultures)
    {
        if (culture.Name == cultureName)
            return true;
    }

    return false;
}

这可能相当昂贵，但可能仍然比处理非常昂贵的异常便宜 - 不过，在相信我的话之前先衡量一下差异。

我认为定义的区域性列表不会在 .NET 版本之间发生变化，因此您应该在启动时获取该列表并将其缓存在某处。

Answer 4

这个网站有一个使用 LINQ 的示例：

CultureInfo[] cultures = System.Globalization.CultureInfo.GetCultures
                         (CultureTypes.SpecificCultures);

var selectCulture = from p in cultures
                    where p.Name == value
                    select p;

if (selectCulture.Count() == 1)
{
    // your culture is good
}

看起来有点沉重，尽管。 我可能会坚持使用你所拥有的。

Answer 5

这就是我最终为我的动作过滤器所做的事情。
我们只检查语言，而不检查区域设置。

public class HttpInternationalizationAttribute : ActionFilterAttribute
{
    private static readonly HashSet<string> Langs = new HashSet<string>(CultureInfo.GetCultures(CultureTypes.NeutralCultures)
                                                                           .Select(x => x.TwoLetterISOLanguageName.ToUpper()));

    public override void OnActionExecuting(HttpActionContext actionContext)
    {
        var language = (string)actionContext.ControllerContext.RouteData.Values["language"];

        if (!string.IsNullOrEmpty(language) && Langs.Contains(language.ToUpper()))
        {
            Thread.CurrentThread.CurrentCulture = CultureInfo.GetCultureInfo(language);
            Thread.CurrentThread.CurrentUICulture = CultureInfo.GetCultureInfo(language);
        }
    }
}

使用哈希集，这将在 O(1) 中运行。

干杯！