爲什麼從ASP.net MVC中取出驗證請求？

Question

在標準的ASP.net應用程序中，ASP.net爲XSS攻擊提供了一些保護，如果有人嘗試使用validateRequest拋出檢測危險的輸入錯誤。爲什麼這個功能似乎已經被MVC帶出了？

Answer 1

這是一條艱難的路線。您的Web應用程序僅僅是一個RESTful Web資源嗎？或者它試圖做更多。接下來你知道你有100個隱藏的輸入字段：__VIEWSTATE，__EVENTTARGET，__EVENTARGUMENT等等。

如你所知，你仍然可以防止MVC中的XSS攻擊。只需google it就可以看到幾個例子。但其原因基本上是MVC是一種不同的「更清潔」類型的Web應用程序。

編輯：我不知道我上面說的是否清楚。但是，這個想法是，MVC不會試圖超過它（就像ASP.NET一樣）。他們都有自己的優點和理由。

Answer 2

無論如何，我希望你有比ValidateRequest更強大的功能來避免XSS。

Answer 3

我發現ValidateRequest解決方案是一個黑客攻擊。在我看來，'防範XSS'是一個商業規則;因此讓模型處理這種情況。

我真的很喜歡關於更好地遵循REST原則的解釋。至於100個隱藏的領域，它讓我想起幾年前我提供的ASP解決方案;我使用了隱藏字段來擴展元數據。不漂亮。

Answer 4

我知道這個問題很老，但我認爲我可以回答它。

有一個ValidateInput操作過濾器屬性可以添加到操作中。

[ValidateInput(true)] 
public ActionResult Foo() 
{ 

} 

您也可以使用模特屬性

public class MyModel 
{ 
    public Guid ID { get; set; } 

    [AllowHtml] 
    public string SomeStringValue { get; set; } 
}