A potentially dangerous Request.Form value was detected from the client (TextBox1="...tf-16"?>
<xs:schema id="NewDa...").
Description: Request Validation has detected a potentially dangerous client input value, and processing of the request has been aborted. This value may indicate an attempt to compromise the security of your application, such as a cross-site scripting attack. You can disable request validation by setting validateRequest=false in the Page directive or in the
configuration section. However, it is strongly recommended that your application explicitly check all inputs in this case.
Exception Details: System.Web.HttpRequestValidationException: A potentially dangerous Request.Form value was detected from the client (TextBox1="...tf-16"?>
<xs:schema id="NewDa...").
Source Error:
[No relevant source lines]
|
Source File: c:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\Temporary ASP.NET Files\12\65c96b58\17a872ec\App_Web_syqk3h8u.0.cs Line: 0
Stack Trace:
[HttpRequestValidationException (0x80004005): A potentially dangerous Request.Form value was detected from the client (TextBox1="...tf-16"?>
<xs:schema id="NewDa...").]
System.Web.HttpRequest.ValidateString(String s, String valueName, String collectionName) +287
System.Web.HttpRequest.ValidateNameValueCollection(NameValueCollection nvc, String collectionName) +107
System.Web.HttpRequest.get_Form() +109
System.Web.HttpRequest.get_HasForm() +59
System.Web.UI.Page.GetCollectionBasedOnMethod(Boolean dontReturnNull) +46
System.Web.UI.Page.DeterminePostBackMode() +71
System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +7992
System.Web.UI.Page.ProcessRequest(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +158
System.Web.UI.Page.ProcessRequest() +85
System.Web.UI.Page.ProcessRequestWithNoAssert(HttpContext context) +20
System.Web.UI.Page.ProcessRequest(HttpContext context) +110
ASP.default_aspx.ProcessRequest(HttpContext context) in c:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\Temporary ASP.NET Files\12\65c96b58\17a872ec\App_Web_syqk3h8u.0.cs:0
System.Web.CallHandlerExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute() +317
System.Web.HttpApplication.ExecuteStep(IExecutionStep step, Boolean& completedSynchronously) +65
|
菜鳥級解決方案:
由于在.net中，Request時出現有HTML或Javascript等字符串時，系統會認為是危險性值。立馬報錯。
解決方案一：
在.aspx文件頭中加入這句：
<%@ Page validateRequest="false" %>
解決方案二：
修改web.config文件:
<configuration>
<system.web>
<pages validateRequest="false" />
</system.web>
</configuration>
因為validateRequest默認值為true。只要設為false即可。
http://www.cnblogs.com/tyeying/archive/2005/11/28/286127.html
請慎用ASP.Net的validateRequest="false"
http://tech.techweb.com.cn/thread-190917-1-2.html
ASP.Net 1.1后引入了對提交表單自動檢查是否存在XSS(跨站腳本攻擊)的能力。當
用戶試圖用之類的輸入影響
頁面返回結果的時候，ASP.Net的引擎會引發一個 HttpRequestValidationExceptioin。默認情況下會返回如下文字的頁面：
# c4 L* t; e" z/ R* r' @5 f
3 L% Z- i. R" f* j
以下是引用片段：
7 ?1 y2 E' A" M! R5 F9 W
Server Error in '/Your
ApplicationPath' Application
) P9 i9 u0 R;
這是ASP.Net提供的一個很重要的安全特性。因為很多程序員對安全沒有概念，甚至都不知道XSS這種攻擊的存在，知道主動去防護的就更少了。ASP.Net在這一點上做到默認安全。這樣讓對安全不是很了解的程序員依舊可以寫出有一定安全防護能力的網站。
; L1 C* n% n! x c$ @( O8 M
但是，當我Google搜索 HttpRequestValidationException 或者 "A potentially dangerous Request.Form value was detected from the client"的時候，驚奇的發現大部分人給出的
解決方案竟然是在ASP.Net頁面描述中通過設置 validateRequest=false 來禁用這個特性，而不去關心那個程序員的網站是否真的不需要這個特性?？吹梦疫@叫一個膽戰心驚。安全意識應該時時刻刻在每一個程序員的心里，不管你對安全的概念了解多少，一個主動的意識在腦子里，你的站點就會安全很多。
為什么很多程序員想要禁止 validateRequest 呢?有一部分是真的需要用戶輸入"<>"之類的字符。這就不必說了。還有一部分其實并不是用戶允許輸入那些容易引起XSS的字符，而是討厭這種報錯的形式，畢竟一大段英文加上一個ASP.Net典型異常錯誤信息，顯得這個站點出錯了，而不是用戶輸入了非法的字符，可是自己又不知道怎么不讓它報錯，自己來處理報錯。
! v/ r6 t/ r& q/ H( Z& i
對于希望很好的處理這個錯誤信息，而不使用默認ASP.Net異常報錯信息的程序員們，你們不要禁用validateRequest=false。
6 L8 d2 ~9 l+ A7 f& l, L: X) R
正確的做法是在你當前頁面添加Page_Error()
函數，來捕獲所有頁面處理過程中發生的而沒有處理的異常。然后給用戶一個合法的報錯信息。如果當前頁面沒有Page_Error()，這個異常將會送到Global.asax的Application_Error()來處理，你也可以在那里寫通用的異常報錯處理函數。如果兩個地方都沒有寫異常處理函數，才會顯示這個默認的報錯頁面呢。