我有一个由 3 部分组成的查询字符串。
前 2 部分是静态的，但最后一个是动态的，可以是任何值。
因为查询字符串中使用的关键字被 IIS 阻止/拒绝，所以我需要知道如何在 IIS 7.5 的请求过滤中只允许查询字符串的最后一部分使用动态值
例如：
in-content=knownvalue&out-content=knownwvalue&searchable= *这可以是由字符、数字、连字符、撇号和符号等组成的任何单词。
提前感谢大家的帮助。
【问题讨论】：
因为在查询字符串的一部分中使用的关键字被 IIS 阻止/拒绝我需要知道如何只为查询字符串的最后部分允许动态值
我认为您目前无法在每个参数级别配置默认请求验证，因此要允许特定参数的所有输入，您必须禁用它。
（无论如何我都会这样做，因为 IIS 请求验证是一个被误导的 bogus security measure hides not solves 注入问题。）
如果您之后仍想逐个参数地进行输入过滤，您可以在应用程序中实现它或提供您自己的请求验证（继承 RequestValidation 并将 requestValidationType 指向该类）。特定于应用程序的输入过滤通常是一件好事，但它不能解决注入型 XSS 问题，唯一有效的解决方案仍然是正确转义输出上下文。
【讨论】：