Un valore Request.Form potenzialmente pericoloso è stato rilevato dal client (wresult = "<trust: RequestSecuri ...")

Question

Anche ricevendo un errore di convalida della richiesta quando si utilizza WIF. Mi viene inviato correttamente al servizio token di sicurezza, ma sulla via del ritorno ricevo questo errore di convalida.

Ho seguito tutte le istruzioni.

<httpRuntime requestValidationMode="2.0" /> 

controllare!

[ValidateInput(false)] 

controllare!

<pages validateRequest="false" > 

controllare!

Ho provato un validatore personalizzato, ma non viene mai istanziato.

errore di stack:

[HttpRequestValidationException (0x80004005): A potentially dangerous Request.Form value was detected from the client (wresult="trust:RequestSecuri...").] 
    System.Web.HttpRequest.ValidateString(String value, String collectionKey, RequestValidationSource requestCollection) +11396740 
    System.Web.HttpRequest.ValidateNameValueCollection(NameValueCollection nvc, RequestValidationSource requestCollection) +82 
    System.Web.HttpRequest.get_Form() +212 
    Microsoft.IdentityModel.Web.WSFederationAuthenticationModule.IsSignInResponse(HttpRequest request) +26 
    Microsoft.IdentityModel.Web.WSFederationAuthenticationModule.CanReadSignInResponse(HttpRequest request, Boolean onPage) +145 
    Microsoft.IdentityModel.Web.WSFederationAuthenticationModule.OnAuthenticateRequest(Object sender, EventArgs args) +108 
    System.Web.SyncEventExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute() +80 
    System.Web.HttpApplication.ExecuteStep(IExecutionStep step, Boolean& completedSynchronously) +270 

Qualche suggerimento?

Answer 1

<httpRuntime requestValidationMode="2.0"/> 

dopo questo componente aggiuntivo

<configuration> 
    <system.web> 
     <pages validateRequest="false" /> 
    </system.web> 
</configuration> 

anche in MVC3 v'è un attributo AllowHtml

[AllowHtml] 
public string Property{ get; set; } 

ecco alcuni link utili

ASP.NET MVC – pages validateRequest=false doesn’t work?

Why is ValidateInput(False) not working?

Answer 2

È possibile inserire entrambi i costrutti nella sezione system.web come da ASP.NET : A potentially dangerous Request.Form value was detected from the client.

Si noti che questa è la funzionalità ASP.NET standard. Non è connesso a WIF.

Answer 3

In MVC 3 (non sono sicuro di circa 2) è possibile aggiungere un filtro globale in global.asax.cs, ad es.

public static void RegisterGlobalFilters(GlobalFilterCollection filters) 
{ 
    filters.Add(new ValidateInputAttribute(false)); 
} 

Che accoppiata con la seguente dovrebbe consentire a tutti i dati in e visualizzarli correttamente e sicuro penso:

<httpRuntime encoderType="Microsoft.Security.Application.AntiXssEncoder, AntiXssLibrary"/> 

nel web.config ed usando (nota due punti):

<%: Model.Something %> 

o in Rasoio:

@Model.Something 

e in alcuni casi in Javascript:

@Html.Raw(Ajax.JavaScriptStringEncode(Model.Something)) 

Answer 4

Vedi this answer se si esegue .NET 4.5, che si avvale di un validatore richiesta aggiornata costruito ad ASP.NET.