验证请求不起作用

Question

场景如下：

我的 .ascx 上有一个常规超链接。 （不，我决定不使用 asp.net 控件） 单击该超链接时，会通过查询字符串发送要删除的对象的 ID，因此在我的页面的代码隐藏中，我抓住它，如果它存在，则调用 RemoveSomeItem 方法将其删除，然后执行 Response.Redirect 回到Request.Path 因为我们不知道哪个 .aspx 页面将使用此控件。一切正常。

但我还需要在重定向“您刚刚删除 [项目名称]”后在该 .aspx 页面的顶部显示一条好消息

所以我所做的就是在响应重定向中，我添加了一个名为 removedItemName 的附加查询字符串参数，例如字符串中甚至包含一些 HTML：

&removedName=<sup>©</sup> Hockey Cup - Large

问题 ASP.NET 检测到这是一个潜在的不安全字符串，但当然这永远不会，所以我尝试将其添加到 .aspx 页面指令中：

ValidateRequest="false"

但它不起作用。 ASP.NET 仍然抛出错误：

从客户端检测到一个潜在危险的 Request.QueryString 值（removedName="^© Hockey..."）。

第二，有没有人像这样在查询字符串中传递 Html 以用于完全有害的情况？意思是这个普遍吗？它是否会导致通过查询字符串参数传递带空格的字符串出现问题，或者是否可以接受空格？

Answer 1

我首先要说这通常是个坏主意。您不想将页面中呈现的内容直接控制给用户。他们可以在查询字符串中放入任何内容。你最好像这样缓存消息：

Guid id = Guid.NewGuid();
HttpRuntime.Cache.Add(id, "<sup>foo</sup>");
Response.Redirect("page.aspx?message=" + id.ToString());

然后检索消息（如果需要，删除它）：

string message = HttpRuntime.Cache[new Guid(Request.QueryString["message"])];
HttpRuntime.Cache.Remove(id);

但如果您必须知道如何将 HTML 放入查询字符串中：

编码：

string value = HttpUtility.UrlEncode("<sup>foo</sup>");

产量：

%3Csup%3Efoo%3C%2Fsup%3E 

然后解码得到相反的结果：

string value = HttpUtility.UrlDecode("%3Csup%3Efoo%3C%2Fsup%3E");

Answer 2

允许在查询字符串中传递 HTML 是极其危险的，并且会使您的网站面临许多安全问题。您应该找到一种通过查询字符串（或者更好的是，在 Session 或 Cookie 中）传递一些数据（如 ID 和消息类型）的方法，并让您重定向的页面以确定要显示的消息。