将 HTML 传递给控制器​​时替代 ValidateInput("false")

Question

我有一个非常简单的 ASP.NET MVC 页面，并且正在使用 TinyMCE 允许用户输入 cmets。但是，当我将数据传递给控制器​​时，我会收到以下错误消息：

一个潜在危险的 Request.Form 从客户端检测到值

共识是 ValidateInput("false") 应该设置在 Action 方法上，但不知何故，这对我来说并不合适。我试图通过订购我的操作方法并通过我的 ActionExecitomgContext ActionParameters 清理数据来拦截此错误，但是此错误一次又一次地发生。有谁知道在不禁用 ValidateInput 的情况下允许此内容通过（或正确拦截）的方法

Answer 1

您是否详细说明了为什么它坐得不好？ ValidateInput("false") 在接受 HTML 的一个操作上是正确的方法。输入验证是一项旧的 ASP.NET 功能，默认情况下为了深度安全而启用，但它就像一把大锤。它不理解允许的 HTML 的细微差别。

对于那个操作方法，您可以编写自己的 ValidateSafeHtmlAttribute 操作过滤器并将其放在方法上。也许那个内部封装了一个设置为 false 的 ValidateInput，然后针对您的场景进行自己的验证。这是我的建议。