Quando invio caratteri HTML nel mio modulo, perché ASP.NET genera un errore interno del server (500)?

Question

Quando inserisco caratteri HTML nel mio modulo, ad esempio <br />, ASP.NET genera un'eccezione interna 500 come descritto in here.

A potentially dangerous Request.Form value was detected from the client (Name="<br />").

Ok, quindi mi sta proteggendo da caratteri non codificati che potrebbero essere utilizzati per ragioni di malintenzionati.

Il problema è, e questo non viene risposto da nessuna parte nella mia lunga ricerca, è cosa fare al riguardo. Cioè la mia applicazione non deve semplicemente generare un errore generico del server interno quando un utente inserisce caratteri non validi (cosa succede se sta disegnando una freccia come < -).

Ciò che sarebbe meglio è semplicemente tornare alla pagina con un errore ModelState che dice "Per favore non usare caratteri HTML" o qualcosa di significativo.

Ma come è possibile raggiungere questo obiettivo? L'errore viene generato prima che arrivi al mio codice. Inoltre, non voglio semplicemente spegnerlo via validateRequest="false" e quindi devo convalidare ogni singolo modulo nella mia applicazione per i caratteri HTML e restituire un errore.

C'è un modo per lasciare abilitato questo tipo di convalida, ma gestirlo in modo diverso?

Codice di chiarimenti:

Model

Public Class SomeModel 
    Public Property SomeField As String 
End Class 

Controller

<HttpPost> 
Function SomeController(ByVal model As SomeModel) 
    ' model.SomeField contains some HTML characters :O 
    ' but it doesn't matter, since an internal error has occured :(
End Function 

Answer 1

È sicuramente possibile mostrare la propria pagina di errore con qualsiasi messaggio tu ritenga opportuno.
Si utilizzano pagine CustomError per questo.

È possibile configurare queste pagine di errore da visualizzare per il codice di errore appropriato.

<configuration> 
    <system.web> 
     <customErrors mode="RemoteOnly" redirectMode="ResponseRewrite" 
        defaultRedirect="GenericError.htm"> 
     <error statusCode="500" redirect="InternalError.aspx"/> 
     </customErrors> 
    </system.web> 
</configuration> 

Displaying a Custom Error Page

Sulla vostra pagina di errore è possibile rilevare l'ultimo errore con Server.GetLastError() e usarlo mostrano un messaggio appropriato, se si desidera che questo caso di dati html da trattare in modo diverso.

Answer 2

Avete provato ad aggiungere l'attributo AllowHtml alla proprietà del ViewModel?

Answer 3

Per consentire l'input limitato nel modello, utilizzare AllowHtmlAttribute sulla proprietà model. Questo è il primo passo.

Quindi creare un validatore personalizzato o utilizzare RegularExpressionAttribute per convalidare l'input per le specifiche.

Oppure, se si desidera consentire all'utente di inserire caratteri limitati, utilizzare HttpUtility.HtmlEncode per codificare il valore.

Answer 4

Sembra che quello che vuoi sia averlo spento a livello globale.

La preoccupazione di dover convalidare ogni singolo input nella propria applicazione è meno problematica di quanto non fosse in passato con il rasoio e la sintassi delle pagine Web di asp.net <%:%> HTML automaticamente. Gli unici campi dell'applicazione che dovresti convalidare manualmente per assicurarti che non contengano HTML sarebbero campi che vengono visualizzati come testo non codificato.