安全地允許IIS上的雙重轉義

我有一個使用IIS 7.5的站點，它也使用ISAPI重寫。我想重定向一些URL，這些URL將由我們的業務合作伙伴使用的一個桌面軟件傳遞。基本上他們有一個可以用來查找產品的應用程序，他們可以點擊應用程序中的產品並進入供應商的網站。安全地允許IIS上的雙重轉義

問題是應用程序，許多客戶使用該應用程序，無法更改以適應我，使用「+」來消除某些URL參數中的空格。這是導致問題的原因，因爲我試圖使用ISAPI重寫來重新編寫基於部件號的URL。「+」號會導致IIS返回「未找到」錯誤。

根據我讀過的所有內容，這可以通過在web.config文件中允許雙重轉義來解決。每個人似乎都很容忍這件事，但我認爲MS認爲這是一個安全問題。

那麼，允許雙重逃跑的危險究竟是什麼？我們有一個在這個服務器上運行的asp經典網站，所以我不想冒任何暴露在網站或數據庫中的風險。 OTOH如果我能夠自信地放棄它，這將是解決問題的一個非常簡單的方法。

2013-10-11 valis

這是一個複雜的問題。我沒有OTOH給你，但我可以告訴你，在我使用IIS和雙重轉義的最近4年中，我們的客戶已經能夠在沒有任何進一步問題的情況下實現雙重轉義。 HeliconTech支持團隊成員

2013-10-14 13:10:13 Andrew

謝謝，我將繼續嘗試。我喜歡你的軟件，並發現這令人印象深刻，你在這裏發現這個問題的答案。 – valis

回答