提出"潜在危险的Request.Form值"错误的条件是否依赖于.NET配置和版本？

Question

我正在测试我之前写的BlogEngine.NET扩展的Tiny_MCE插件,每当我使用自己的扩展或非常流行的SyntaxHighlighter扩展时,我都会收到以下错误消息,这两个扩展都有类似的行为并且都实现了Tiny_MCE插件:

网址:' http://localhost/admin/Pages/Add_entry.aspx '

原始网址:/admin/Pages/Add_entry.aspx

消息:从客户端检测到潜在危险的Request.Form值(ctl00 $ cphAdmin $ txtContent $ TinyMCE1 $ txtContent ="

源:System.WebStackTrace:位于System.Web.HttpRequest.get_Form()处的System.Web.HttpRequest.ValidateString(String value,String collectionKey,RequestValidationSource requestCollection),位于System.Web.HttpRequest.ValidateNameValueCollection(NameValueCollection nvc,RequestValidationSource requestCollection)处.位于D:\ Projects\Be-1610\BlogEngine\DotNetSlave.BusinessLogic\Web\HttpModules中的BlogEngine.Core.Web.HttpModules.CompressionModule.context_PostReleaseRequestState(Object sender,EventArgs e)中的System.Web.HttpRequest.get_Item(String key) CompressionModule.cs:System.Web.HttpApplication.ExecuteStep(IExecutionStep step,Boolean&completedSynchronously)的System.Web.HttpApplication.SyncEventExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute()第62行:TargetSite:Void ValidateString(System.String,System.String,System.Web.Util.RequestValidationSource)

我的问题是:虽然我在本地环境(IIS 7.5 ASP.NET 4.0集成应用程序池)上收到此错误,但我在我的实时环境(IIS 7.5 ASP.NET 3.5 SP1/3.0/2.0)上没有收到任何错误.我在Visual Studio 2010中使用调试模式测试扩展,并从单独的实例运行该站点我没有收到此错误.

我几乎可以肯定,这个问题只发生在我的localhost IIS实例上,这表明它是一个配置问题或特定于ASP.NET 4.0的行为,但我不知道到底是什么.你们中的任何人都知道造成这种情况的原因吗？

Answer 1

你现在认为它是一个错误的原因是因为.NET 4.0.这是ASP.NET 4.0中的一个重大变化,在此处进行了描述.

最快恢复是将其添加到您的web.config:

<httpRuntime requestValidationMode="2.0" />

希望有所帮助!

Answer 2

它告诉你控件(例如文本输入)正在返回看起来像HTML或javascript的东西,并且它不会假设你正在清理你的输入.

当然,因为你是被偏执你输入(你的,不是吗？),你可以关闭该警告关闭.

如何为该页面关​​闭它:

<%@ Page Language="vb" ValidateRequest="false" [etc]

要为整个站点关闭它,请将其放在web.config中:

<system.web>
    <pages validateRequest="false" />
    [etc.]