从客户端检测到潜在危险的 Request.Path 值

Question

我完全不知道为什么会收到此错误。此错误的典型原因与尝试将 HTML 标记提交到文本字符串或类似内容有关，但我没有做类似的事情。我认为发生这种情况的页面包含一个简单的电子邮件地址。

这是我的验证模型...

public class Subscriber
{
    [Key]
    [DisplayName("Email Address")]
    [Required(ErrorMessage = "{0} is required")]
    [RegularExpression(@"^([a-zA-Z0-9_\-\.]+)@((\[[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.)|(([a-zA-Z0-9\-]+\.)+))([a-zA-Z]{2,4}|[0-9]{1,3})$", ErrorMessage = "{0} must be a valid email address")]
    public string EmailAddress { get; set; }

    public Guid UnsubscribeKey { get; set; }
}

这是我的脚本引用，因为错误似乎在 Scripts 目录中...

<script src="@Url.Content("~/Scripts/jquery-1.5.2.min.js")" type="text/javascript"></script>

<script src="@Url.Content("~/Scripts/jquery.validate.min.js")" type="text/javascript"></script>
<script src="@Url.Content("~/Scripts/jquery.validate.unobtrusive.min.js")" type="text/javascript"></script>
<script src="@Url.Content("~/Scripts/jquery.unobtrusive-ajax.min.js")" type="text/javascript"></script>

<script src="@Url.Content("~/Scripts/modernizr-1.7.min.js")" type="text/javascript"></script>

我的最佳猜测是有人恶意在电子邮件地址中输入了一些无效脚本，但我在 Elmah 或 CodeSmith Insight 中没有看到任何指向我的代码的错误。我什至无法弄清楚这到底发生在哪里。

这里是错误...

检测到来自客户端 (:) 的潜在危险 Request.Path 值。 (/NewsList/Scripts/,data:c,complete:function(a,b,c){c=a.responseText,a.isResolved()&&(a.done(function(a){c=a}), i.html(g)

System.Web.HttpException (0x80004005)：从客户端 (:) 检测到潜在危险的 Request.Path 值。 在 System.Web.HttpRequest.ValidateInputIfRequiredByConfig() 在 System.Web.HttpApplication.PipelineStepManager.ValidateHelper(HttpContext 上下文)

在 System.Web.HttpRequest.ValidateInputIfRequiredByConfig() 在 System.Web.HttpApplication+PipelineStepManager.ValidateHelper(HttpContext 上下文)

路径中有非法字符。

System.ArgumentException：路径中有非法字符。 在 System.IO.Path.CheckInvalidPathChars（字符串路径） 在 System.Security.Permissions.FileIOPermission.HasIllegalCharacters(String[] str) 在 System.Security.Permissions.FileIOPermission.AddPathList（FileIOPermissionAccess 访问，AccessControlActions 控件，String[] pathListOrig，布尔 checkForDuplicates，布尔 needFullPath，布尔 copyPathList） 在 System.Security.Permissions.FileIOPermission..ctor（FileIOPermissionAccess 访问，字符串路径） 在 System.Web.InternalSecurityPermissions.PathDiscovery（字符串路径） 在 System.Web.HttpRequest.get_PhysicalPath() 在 WebsitePanel.IIsModules.SecureFolders.context_OnEnter（对象发送者，EventArgs e） 在 System.Web.HttpApplication.SyncEventExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute() 在 System.Web.HttpApplication.ExecuteStep(IExecutionStep step, Boolean& completedSynchronously)

在 System.IO.Path.CheckInvalidPathChars（字符串路径） 在 System.Security.Permissions.FileIOPermission.HasIllegalCharacters(String[] str) 在 System.Security.Permissions.FileIOPermission.AddPathList（FileIOPermissionAccess 访问，AccessControlActions 控件，String[] pathListOrig，布尔 checkForDuplicates，布尔 needFullPath，布尔 copyPathList） 在 System.Security.Permissions.FileIOPermission..ctor（FileIOPermissionAccess 访问，字符串路径） 在 System.Web.InternalSecurityPermissions.PathDiscovery（字符串路径） 在 System.Web.HttpRequest.get_PhysicalPath() 在 WebsitePanel.IIsModules.SecureFolders.context_OnEnter（对象发送者，EventArgs e） 在 System.Web.HttpApplication+SyncEventExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute() 在 System.Web.HttpApplication.ExecuteStep(IExecutionStep step, Boolean& completedSynchronously)

更新 - 可能已解决 在对此进行了更多思考之后，我在堆栈跟踪中看到了“WebsitePanel.IIsModules.SecureFolders”，这影响了我的记忆。我记得在我的托管服务提供商上看到了一些关于安全文件夹的信息。此功能隐藏在他们的控制面板中，根据该方法是有意义的。我给他们发了电子邮件并要求他们禁用该模块。这几天没有发生，所以我怀疑是它。

Answer 1

正如异常所说的请求路径中有非法字符，更具体地说，冒号字符不正确 (:) = "从客户端检测到潜在危险的 Request.Path 值 (:)。"

您的请求似乎包含：

"(/NewsList/Scripts/,data:c,complete:function(a,b,c){c=a.responseText,a.isResolved()&&(a.done(function(a){c= a}),i.html(g"

---

从客户端 (:) 检测到具有潜在危险的 Request.Path 值。 (/NewsList/Scripts/,data:c,complete:function(a,b,c){c=a.responseText,a.isResolved()&&(a.done(function(a){c=a}), i.html(g)

System.Web.HttpException (0x80004005)：从客户端 (:) 检测到潜在危险的 Request.Path 值。在 System.Web.HttpRequest.ValidateInputIfRequiredByConfig() 在 System.Web.HttpApplication.PipelineStepManager.ValidateHelper(HttpContext context)

在 System.Web.HttpRequest.ValidateInputIfRequiredByConfig() 在 System.Web.HttpApplication+PipelineStepManager.ValidateHelper(HttpContext context)

路径中有非法字符。

---

Answer 2

在客户端提交电子邮件地址之前，您似乎没有验证电子邮件地址。您可以使用以下代码来验证电子邮件地址。同时为邮件输入字段设置maxlength属性。

function validateEmail(email) 
{ 
 var re = /^(([^<>()[\]\\.,;:\s@\"]+(\.[^<>()[\]\\.,;:\s@\"]+)*)|(\
".+\"))@((\[[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\])|(([a-zA
-Z\-0-9]+\.)+[a-zA-Z]{2,}))$/ 
 return email.match(re) 
}

if(!validateEmail($("#emailAddress).val()){
     alert("Invalid email address");
}

Answer 3

ASP.NET MVC 已经有 DataType 属性。您可以使用它来代替正则表达式

public class Subscriber
{
    [Key]
    [DisplayName("Email Address")]
    [Required(ErrorMessage = "{0} is required")]
    [DataType(DataType.EmailAddress)]
    public string EmailAddress { get; set; }

    public Guid UnsubscribeKey { get; set; }
}