MVC가 클라이언트로부터 잠재적으로 위험한 요청을 감지하는 우회 방법

작은 쓰레기 같은 놈들 · 게시됨 2016. 11. 25. 오후 4:33:35

[HttpRequestValidationException (0x80004005): 클라이언트로부터... Request.Form 값에서 잠재적으로 위험한 Request.Form 값이 감지됩니다. ]
System.Web.HttpRequest.ValidateString(String s, String valueName, String collectionName)

1. 사실, 오류는 명확히 설명되었고 해답은 다음과 같이 제시된다:

클라이언트에서 잠재적으로 위험한 Request.Form 값이 감지되었습니다(txtUEditor="<p>a</p>").

설명: 요청 검증 과정에서 잠재적으로 위험한 클라이언트 입력 값을 감지하여 요청 처리가 중단되었습니다. 이 값은 크로스 사이트 스크립팅 공격과 같은 애플리케이션 보안을 침해하려는 시도가 있을 수 있음을 나타낼 수 있습니다. 페이지가 애플리케이션 요청 검증 설정을 덮어쓰도록 하려면, httpRuntime 구성 섹션에서 requestValidationMode 속성을 requestValidationMode="2.0"으로 설정하세요. 예시: <httpRuntime requestValidationMode="2.0" />. 이 값이 설정되면, <pages> 페이지 디렉티브나 구성 섹션에서 validateRequest="false"를 설정하여 요청 검증을 비활성화할 수 있습니다. 하지만 이 경우에는 애플리케이션이 모든 입력을 명시적으로 검사하는 것이 강력히 권장됩니다. 자세한 내용은 http://Go.microsoft.com/fwlink/?LinkId=153133 참조.

예외 세부사항: System.Web.HttpRequestValidationException: 클라이언트에서 잠재적으로 위험한 Request.Form 값이 감지되었습니다 (txtUEditor="<p>a"a</p>).

2. 또 다른 방법은 web.config의 페이지 섹션에서 설정하는 것입니다. 예를 들면:

로그인이 보이네요.

하지만 이 방법은 좋지 않다. 너무 폭력적이기 때문이다. 프로젝트 전체의 모든 페이지가 제출된 콘텐츠를 더 이상 검증하지 않게 만들고, 보안도 크게 떨어진다.

3. 권장 실천법:
액션에 속성:[ValidateInput(false])을 추가하면, 페이지가 제출물을 검증하는 것만 막고 다른 페이지에는 영향을 주지 않습니다.

로그인이 보이네요.

참고: Request.Form["XXX"]를 이런 방식으로 얻어도 잠재적으로 위험한 이상 현상이 감지될 수 있으니, 원하는 데이터를 컨트롤러 매개변수에 반드시 입력하세요! !

[ASP.NET] MVC가 클라이언트로부터 잠재적으로 위험한 요청을 감지하는 우회 방법

관련 게시물

본 섹션