(转)从客户端中检测到有潜在危险的 Request.Form 值

偏执的太偏执、 2021-11-02 16:02 180阅读 0赞

来自:[http://www.lokcore.com/avrilxu/article.asp?id=32][http_www.lokcore.com_avrilxu_article.asp_id_32]

从客户端中检测到有潜在危险的 Request.Form 值  
由于在.net中，Request时出现有HTML或Javascript等字符串时，系统会认为是危险性值。立马报错上面的错误。  
解决办法：  
解决方案一：  
在.aspx文件头中加入这句：  
<%@ Page validateRequest="false"  %>  
解决方案二：  
修改web.config文件:  
<configuration>  
  <system.web>  
    <pages validateRequest="false" />  
  </system.web>  
</configuration>  
因为validateRequest默认值为true。只要设为false即可。  
当然，这样只能是让界面好看一些，要想抵制注入，还得从过滤上做足功夫  
然后，还是有不禁用validateRequest的方法的，如下  
不禁用validateRequest=false。  
　　正确的做法是在你当前页面添加Page\_Error()函数，来捕获所有页面处理过程中发生的而没有处理的异常。然后给用户一个合法的报错信息。如果当前页面没有Page\_Error()，这个异常将会送到Global.asax的Application\_Error()来处理，你也可以在那里写通用的异常报错处理函数。如果两个地方都没有写异常处理函数，才会显示这个默认的报错页面呢。  
　　举例而言，处理这个异常其实只需要很简短的一小段代码就够了。在页面的Code-behind页面中加入这么一段代码：    
以下是引用片段：  
protected void Page\_Error(object sender, EventArgs e)  
\{  
Exception ex = Server.GetLastError();  
if (ex is HttpRequestValidationException)  
\{  
Response.Write("请您输入合法字符串。");  
Server.ClearError(); // 如果不ClearError()这个异常会继续传到Application\_Error()。  
\}  
\}

转载于:https://www.cnblogs.com/leotian/archive/2008/12/11/1352937.html

[http_www.lokcore.com_avrilxu_article.asp_id_32]: http://www.lokcore.com/avrilxu/article.asp?id=32