Kiedy przesyłam znaki HTML w formularzu, dlaczego program ASP.NET generuje błąd serwera wewnętrznego (500)?

Question

Po umieszczeniu w formularzu znaków HTML, takich jak <br />, program ASP.NET generuje wewnętrzny wyjątek 500 zgodnie z opisem here.

A potentially dangerous Request.Form value was detected from the client (Name="<br />").

Ok, więc to mnie chronić od niekodowanej znaków, które mogłyby zostać wykorzystane do złych powodów.

Problem polega na tym, że odpowiedź na to pytanie nie ma miejsca w moich długich poszukiwaniach, to co z tym zrobić:. To znaczy. moja aplikacja nie powinna po prostu wyrzucać ogólny wewnętrzny błąd serwera, gdy użytkownik wprowadza złe znaki (co jeśli narysują strzałkę, taką jak < -).

Co jest lepsze, to po prostu wrócić do strony z błędem ModelState z napisem "Proszę nie używać znaków HTML" lub czymś znaczącym.

Ale jak to osiągnąć? Błąd jest zgłaszany, zanim dojdzie do mojego kodu. Ponadto nie chcę po prostu wyłączać go poprzez validateRequest="false", a następnie trzeba sprawdzić poprawność każdego formularza w mojej aplikacji dla znaków HTML i zwrócić błąd.

Czy istnieje sposób na pozostawienie tego rodzaju sprawdzania poprawności włączonego, ale po prostu obsługuje go inaczej?

Kod dla wyjaśnienia:

Model

Public Class SomeModel 
    Public Property SomeField As String 
End Class 

Controller

<HttpPost> 
Function SomeController(ByVal model As SomeModel) 
    ' model.SomeField contains some HTML characters :O 
    ' but it doesn't matter, since an internal error has occured :(
End Function 

Answer 1

Jest zdecydowanie możliwe, aby pokazać swoją własną stronę błędu z wszelkimi komunikatami, które uznasz za stosowne.
Do tego celu służą strony customError.

Można skonfigurować te strony błędów, aby były wyświetlane dla odpowiedniego kodu błędu.

<configuration> 
    <system.web> 
     <customErrors mode="RemoteOnly" redirectMode="ResponseRewrite" 
        defaultRedirect="GenericError.htm"> 
     <error statusCode="500" redirect="InternalError.aspx"/> 
     </customErrors> 
    </system.web> 
</configuration> 

Displaying a Custom Error Page

Na stronie błędu można wykryć ostatni błąd z Server.GetLastError() i używać go wyświetlić odpowiedni komunikat, jeśli chcesz to przypadek danych html być traktowane inaczej.

Answer 2

Czy próbowałeś dodając atrybut AllowHtml do majątku swojej viewmodel?

Answer 3

Aby zezwolić na ograniczone dane wejściowe w modelu, należy użyć właściwości AllowHtmlAttribute we właściwości modelu. To pierwszy krok.

Następnie utwórz własny weryfikator lub użyj funkcji RegularExpressionAttribute w celu sprawdzenia danych wejściowych do specyfikacji.

Lub, jeśli chcesz zezwolić użytkownikowi na wprowadzanie zastrzeżonych znaków, użyj HttpUtility.HtmlEncode do zakodowania wartości.

Answer 4

Wygląda na to, że chcesz wyłączyć go globalnie.

Twoja troska o weryfikację każdego pojedynczego wkładu w aplikacji jest mniej problematyczna niż w przypadku zwykłej składni stron WWW i składni stron internetowych. Jedynymi polami aplikacji, które trzeba ręcznie zweryfikować, aby upewnić się, że nie zawierają kodu HTML, byłyby pola wyświetlane jako nieprzetworzony nieprzetworzony tekst.