Benutzer darf HTML in ASP.NET MVC eingeben - ValidateInput oder AllowHtml

Wie kann ich einem Benutzer erlauben, mit ASP.net MVC HTML in ein bestimmtes Feld einzugeben?

Ich habe eine lange Form mit vielen Feldern, die diesem komplexen Objekt in der Steuerung zugeordnet werden.

Ich möchte, dass ein Feld (die Beschreibung) HTML zulässt, auf das ich zu einem späteren Zeitpunkt meine eigene Hygiene anwenden werde.

Fügen Sie dem Controller, für den Sie HTML zulassen möchten, das folgende Attribut der Aktion (Post) hinzu:

[ValidateInput(false)] 

Edit: Wie pro Charlino Kommentare:

Stellen Sie in Ihrer web.config den verwendeten Validierungsmodus ein. Siehe MSDN :

<httpRuntime requestValidationMode="2.0" />

Edit Sept 2014: Gemäß sprinter252 Kommentare:

Sie sollten jetzt das [AllowHtml]Attribut verwenden. Siehe unten von MSDN :

Verwenden Sie für ASP.NET MVC 3-Anwendungen ValidateInput (false) nicht, um die Anforderungsvalidierung zu deaktivieren, wenn Sie HTML zurück in Ihr Modell senden müssen. Fügen Sie einfach [AllowHtml] zu Ihrer Modelleigenschaft hinzu, wie folgt:

public class BlogEntry {
    public int UserId {get;set;}
    [AllowHtml] 
    public string BlogText {get;set;}
 }

Was ist mit [AllowHtml]Attribut über Eigenschaft?

Zum Modell hinzufügen:

using System.Web.Mvc;

Und zu Ihrem Eigentum

        [AllowHtml]
        [Display(Name = "Body")]
        public String Body { get; set; }

Dieser Code aus meiner Sicht am besten, um diesen Fehler zu vermeiden. Wenn Sie den HTML-Editor verwenden, treten keine Sicherheitsprobleme auf, da diese bereits eingeschränkt sind.

Das Hinzufügen [AllowHtml]der spezifischen Eigenschaft ist die empfohlene Lösung, da es zahlreiche Blogs und Kommentare gibt, die darauf hinweisen, die Sicherheitsstufe zu verringern, was inakzeptabel sein sollte.

Durch Hinzufügen des MVC-Frameworks kann der Controller getroffen und der Code in diesem Controller ausgeführt werden.

Es hängt jedoch von Ihrem Code, Ihren Filtern usw. ab, wie die Antwort generiert wird und ob eine weitere Validierung vorliegt, die einen weiteren ähnlichen Fehler auslösen könnte.

In jedem Fall ist das Hinzufügen von [AllowHtml]Attributen die richtige Antwort, da HTML in der Steuerung deserialisiert werden kann. Beispiel in Ihrem Ansichtsmodell:

[AllowHtml]
public string MessageWithHtml {get; set;}

Ich hatte das gleiche Problem, obwohl ich [System.Web.Mvc.AllowHtml]die betreffende Eigenschaft wie in einigen Antworten beschrieben ergänzt habe.

In meinem Fall habe ich eine UnhandledExceptionFilterKlasse, die auf das Request-Objekt zugreift, bevor die MVC-Validierung stattfindet (und daher hat AllowHtml keine Auswirkung), und dieser Zugriff löst a aus [HttpRequestValidationException] A potentially dangerous Request.Form value was detected from the client.

Dies bedeutet, dass der Zugriff auf bestimmte Eigenschaften eines Request-Objekts implizit die Validierung auslöst (in meinem Fall ist es die ParamsEigenschaft).

Eine Lösung zur Verhinderung der Validierung ist in MSDN dokumentiert

Um die Anforderungsüberprüfung für ein bestimmtes Feld in einer Anforderung zu deaktivieren (z. B. für ein Eingabeelement oder einen Abfragezeichenfolgenwert), rufen Sie die Methode Request.Unvalidated auf, wenn Sie das Element erhalten, wie im folgenden Beispiel gezeigt

Daher, wenn Sie Code wie diesen haben

var lParams = aRequestContext.HttpContext.Request.Params;
if (lParams.Count > 0)
{
  ...

ändere es auf

var lUnvalidatedRequest = aRequestContext.HttpContext.Request.Unvalidated;

var lForm = lUnvalidatedRequest.Form;
if (lForm.Count > 0)
{
  ...

oder verwenden Sie einfach die FormEigenschaft, die keine Validierung auszulösen scheint

var lForm = aRequestContext.HttpContext.Request.Form;
if (lForm.Count > 0)
{
  ...

Wenn Sie eine HTML-Eingabe für den Parameter der Aktionsmethode zulassen müssen (im Gegensatz zu "Modelleigenschaft"), gibt es keine integrierte Möglichkeit, dies zu tun. Sie können dies jedoch einfach mit einem benutzerdefinierten Modellordner erreichen:

public ActionResult AddBlogPost(int userId,
    [ModelBinder(typeof(AllowHtmlBinder))] string htmlBody)
{
    //...
}

Der AllowHtmlBinder-Code:

public class AllowHtmlBinder : IModelBinder
{
    public object BindModel(ControllerContext controllerContext, ModelBindingContext bindingContext)
    {
        var request = controllerContext.HttpContext.Request;
        var name = bindingContext.ModelName;
        return request.Unvalidated[name]; //magic happens here
    }
}

Den vollständigen Quellcode und die Erklärung finden Sie in meinem Blogbeitrag: https://www.jitbit.com/alexblog/273-aspnet-mvc-allowing-html-for-particular-action-parameters/

Die URL-Codierung der Daten funktioniert auch bei mir

Beispielsweise

var data = '<b> Hallo </ b>'

Rufen Sie im Browser encodeURIComponent (Daten) vor dem Posten auf

Rufen Sie auf dem Server HttpUtility.UrlDecode (receive_data) auf, um zu dekodieren

Auf diese Weise können Sie genau steuern, in welchem ​​Feldbereich HTML zulässig ist

Ich habe dieses Problem bei der Entwicklung einer E-Commerce-Website mit NopCommerce festgestellt. Ich habe diese Lösung auf drei verschiedene Arten erhalten, wie in den vorherigen Antworten. Aber laut der NopCommerce-Struktur habe ich diese drei nicht gleichzeitig gefunden. Ich habe gerade gesehen, dass sie dort nur verwenden [AllowHtml]und es funktioniert gut, außer bei jedem Problem. Wie zuvor gestellte Frage

Persönlich bevorzuge ich es nicht, [ValidateInput(false)]weil ich die Überprüfung der gesamten Modellentität überspringe, was unsicher ist. Aber wenn jemand nur schreibt , schauen Sie hier

[AllowHtml] 
public string BlogText {get;set;}

dann wird nur eine einzelne Eigenschaft übersprungen, nur eine bestimmte Eigenschaft zugelassen und kaum alle anderen Entitäten überprüft. Daher scheint es mir vorzuziehen.

In meinem Fall funktionierte das AllowHtml-Attribut in Kombination mit dem OutputCache-Aktionsfilter nicht. Diese Antwort löste das Problem für mich. Hoffe das hilft jemandem.

Sie können [AllowHtml]zum Beispiel für Ihr Projekt verwenden

 [AllowHtml]
 public string Description { get; set; }

Zur Verwendung dieses Codes für die Klassenbibliothek installieren Sie dieses Paket

Install-Package Microsoft.AspNet.Mvc

Nach Gebrauch Dies using

using System.Web.Mvc;

Keine der Antworten hier hat bei mir leider funktioniert.

Am Ende habe ich Custom Model Binding verwendet und einen Sanitizer von Drittanbietern verwendet.

Siehe meine selbst beantwortete Frage hier .