एएसपी.NET एमवीसी 3 एचटीएमएल के लिए पोस्ट पर एचटीएमएलएन्कोड .extAreaFor

Question

मेरे पास एक एएसपी.NET एमवीसी 3 पृष्ठ है जिसमें मेरे पास एक HTML है .extAreaFor नियंत्रण, नीचे कोड देखें। अगर मैं पृष्ठ की तरह कोण कोष्ठक में पाठ के साथ http पोस्ट कार्रवाई करने के लिए प्रस्तुत करने के लिए प्रयास करें: <test>, मैं कह रहा एक पीले रंग की त्रुटि स्क्रीन मिलती है:

एक संभावित खतरनाक Request.Form मूल्य ग्राहक से पता चला था (RequestText = "")।

मुझे समझ नहीं आता क्यों मैं अपने आप क्योंकि मैं an article by Scott Guthrie कि कहते हैं नेट 4 में नए <%: %> वाक्य रचना पाया इस हो रही है, होगा तत्व HtmlEncode। चूंकि मैं <% का उपयोग कर रहा हूं:%> Html.TextAreaFor नियंत्रण के लिए वाक्यविन्यास, मैंने सोचा कि यह स्वचालित रूप से इसका ख्याल रखेगा और कोण ब्रैकेट को उचित "& लेफ्टिनेंट" में परिवर्तित करेगा; और "& gt" स्ट्रिंग्स।

<% using (Html.BeginForm()) 
    { %> 
    <%: Html.ValidationSummary() %> 
    <h2>Enter a description of the support needed</h2> 
    <%: Html.TextAreaFor(m => m.RequestText, 4, 90, null) %> 
    <input type="submit" value="Submit" /> 
<% } %> 

Answer 1

मूल रूप से अभी, आप उत्पादन पर TextAreaFor की सामग्री एन्कोडिंग रहे हैं। यह थोड़ी सी में मदद नहीं करता है के बाद से आप इनपुट से निपटने के लिए कोशिश कर रहे हैं

आप "संभावित खतरनाक" सामग्री को जमा करना चाहते हैं, तो आप या तो

1) के भीतर सजाने के लिए RequestText संपत्ति की जरूरत है [AllowHtml] के साथ आपका व्यूमोडेल। (पसंदीदा)

[AllowHtml] 
public string RequestText { get; set; } 

2) को निष्क्रिय validateRequest

<system.web> 
    <compilation debug="true" targetFramework="4.0" /> 
    <httpRuntime requestValidationMode="2.0" /> 
</system.web> 

तो फिर तुम यह सुनिश्चित करना चाहिए कि आप उचित रूप से है कि डेटा प्रतिबंध लगाया और/या अपने नियंत्रक में यह अपने भंडार लेयर या करने के लिए प्रस्तुत करने से पहले एन्कोडिंग रहे हैं डेटाबेस।

Answer 2

आप AllowHtmlAttribute साथ दृश्य मॉडल पर अपने RequestText संपत्ति को सजाने कर सकते हैं:

[AllowHtml] 
public string RequestText { get; set; } 

इस तरह आप इस संपत्ति के लिए ही एचटीएमएल प्रस्तुत करने के लिए ग्राहक को प्राधिकृत कर रहे हैं।

जहां तक ​​<%: %> वाक्यविन्यास का संबंध है, इसका उपयोग पृष्ठ पर इसे आउटपुट करने से पहले कुछ मान HTML को एन्कोड करने के लिए किया जाता है। इसका उपयोग एक्सएसएस हमलों के खिलाफ सुरक्षा के लिए किया जाता है। यह आपके मामले में अप्रासंगिक है क्योंकि आप पृष्ठ पर आउटपुट नहीं कर रहे हैं, आप अनुरोध में HTML वर्ण प्राप्त कर रहे हैं।