从客户端检测到危险的 Request.Form 值 - 为什么？

Question

我在这里阅读了与此错误相关的所有其他帖子。也许我在这里遗漏了一些东西，但我不知道是什么。我正在使用 textArea 在其中输入文本（html 文本）。
此文本区域绑定到我的域类属性，

public class SomeClass{
...
[AllowHtml]       
        public string CommentText { get; set; }
...
}

我也尝试添加 [ValidateInput(false)] 属性，但什么也没有。但通过阅读错误文本，我发现请求甚至没有到达控制器，它在 Application_BeginRequest() 中被破坏。 这是错误消息：

A potentially dangerous Request.Form value was detected from the client (CommentText="<p>ddd</p>")
Line 23:         protected void Application_BeginRequest(Object sender, EventArgs e)
Line 24:         {
Line 25:             if (HttpContext.Current.Request["RequireUploadifySessionSync"] != null)
Line 26:                 UploadifySessionSync();
Line 27:         }

Source File: D:\Projects\...\Global.asax.cs    Line: 25 

Stack Trace: 


[HttpRequestValidationException (0x80004005): A potentially dangerous Request.Form value was detected from the client (CommentText="<p>ddd</p>").]
   System.Web.HttpRequest.ValidateString(String value, String collectionKey, RequestValidationSource requestCollection) +8755668
   System.Web.HttpRequest.ValidateNameValueCollection(NameValueCollection nvc, RequestValidationSource requestCollection) +122
   System.Web.HttpRequest.get_Form() +114

我知道我可以在 Web 配置中关闭检查整个应用程序。但我只在一种情况下需要这个（允许 HTML 输入）。
更奇怪的是，这在几天前就有效了，我在这里没有更改任何内容，只是登录和注销用户。
我在这里做错了什么？
好吧，现在我从 global.asax 中删除了这段代码：

if (HttpContext.Current.Request["RequireUploadifySessionSync"] != null)
                UploadifySessionSync();

现在它可以工作了。但我这里需要这段代码。为什么会产生这个错误呢？

Answer 1

这已经得到了回答。

上一个问题

您需要更改处理请求验证的方式以将其恢复到 2.0

Answer 2

您的具体问题是，您有查看 BeginRequest 中的请求参数的代码，该代码在 ASP.NET 管道中比绑定模型时更早（其中 AllowHtml 或 ValidateInput 属性将发挥作用）。

看起来您正在使用代码强制执行 Flash 上传的安全性（我正在做一些非常类似的事情。

在我的例子中，我最终只是在 BeginRequest 方法中捕获了 HttpRequestValidationException这不是最佳实践，但验证将在管道中稍后执行，因此您仍然可以控制验证。