用html拒绝基于Ajax JSON的帖子

Question

当使用JQuery的$ .Ajax(..)将包含标记的JSON对象发布到MVC操作方法时,我惊讶地发现ASP.Net的请求验证不会拒绝该内容.

有没有理由将请求验证应用于JSON帖子？

使用以下定义,服务器不会拒绝标记...

$.ajax({
        url: '/Controller/Action',
        data: JSON.stringify({data:data}),
        type: "POST",
        dataType: "json",
        contentType: "application/json",
      }); 

好像它与JSON类型的帖子有关

我正在使用.Net 4.0 MVC 3.0

我正在创建将注释保存到数据库的功能.看起来像标记/脚本可以使其通过请求验证的安全问题...

我张贴的各种特性(例如commentText)出于某种原因,它不拒绝我的帖子JSON对象,如果它包含标记像<div></div>等

在这里找到一篇似乎解释行为的文章:

http://weblogs.asp.net/imranbaloch/archive/2011/05/23/security-issue-in-asp-net-mvc3-jsonvalueproviderfactory.aspx

Answer 1

这里似乎有一条线索 http://weblogs.asp.net/imranbaloch/archive/2011/05/23/security-issue-in-asp-net-mvc3-jsonvalueproviderfactory.aspx