asp.net-mvc-2 - asp.net mvc2 is ValidateInput 属性是否安全？

Question

由于我在我的 asp.net mvc2 项目上安装了 TinyMCE，

我收到了这个错误

从客户端检测到潜在危险的 Request.Form 值

为了摆脱它，我需要把这个属性放在每个控制器上

    [ValidateInput(false)]
    [AllLocationAuthorizeAttribute]
    public class LocationController : Controller
    {

第一个问题。这样做安全吗？

score 0 · Accepted Answer

AllowHtml属性最好适合。

ASP MVC 自动保护可能的脚本输入并抛出异常。您可以使用 AllowHtmlAttribute 或 ValidateInputAttribute(false) 将其关闭。

Razor 引擎将自动对 @model.SomeProperty 之类的字符串进行编码，就像 HtmlHelper.Methods() 一样。

编码后<script>会<script>因此在大多数情况下没有办法恐慌。

1 回答 1