ValidateInput(false) 和 AllowHtml 属性仍然会导致“检测到潜在危险的 Request.Form 值”

Question

我的模型上有：

public class EmailTemplateModel
{
    public int EmailTemplateId { get; set; }

    [Required]
    public string Name { get; set; }
    [Required]
    public string Subject { get; set; }

    [AllowHtml]
    [Required]        
    public string Content { get; set; }
}

在我的控制器上：

[ValidateInput(false)]
public ActionResult AddNewTemplate(EmailTemplateEditorModel model)
{
}

但我收到以下错误：

从客户端检测到有潜在危险的 Request.Form 值

即使应该使用 ValidateInput/AllowHtml 属性禁用此检查，为什么我会收到这些错误？查看其他帖子不清楚我是否需​​要这两个属性或只需要其中一个属性...

Answer 1

你需要添加

<httpRuntime requestValidationMode="2.0" />

到您的web.config。见ASP.Net 4.0 Breaking Changes。尽管配置值令人困惑，但这是 3.5 和 4.0 之间的重大变化 - 验证现在在管道中运行得更早，在 MVC 有机会根据您的属性禁用它之前。