Pourquoi ValidateInput (False) ne fonctionne pas?

Question

Je suis en train de convertir une application que j'ai créée en utilisant webforms pour le framework asp.net mvc en utilisant vb.net. J'ai un problème avec l'un de mes points de vue. Je reçois l'écran jaune de la mort disant "Une valeur Request.Form potentiellement dangereuse a été détectée par le client" lorsque je soumets mon formulaire. J'utilise tinymce comme mon RTE. J'ai mis sur la vue se

ValidateRequest = « false »

Je sais que dans MVC il ne respecte pas sur le point de vue de ce que je l'ai lu jusqu'à présent. Alors je l'ai mis sur l'action du contrôleur aussi. J'ai essayé différentes configurations:

<ValidateInput(False), AcceptVerbs(HttpVerbs.Post)> _ 

... et ...

<AcceptVerbs(HttpVerbs.Post), ValidateInput(False)> _ 

... et comme ça aussi ...

<ValidateInput(False)> _ 
<AcceptVerbs(HttpVerbs.Post)> _ 

Juste pour voir si elle fait une différence, mais je reçois toujours l'écran jaune de la mort. Je veux seulement le définir pour cette vue et l'action spécifique dans mon contrôleur que mon poste se rapporte à. Est-ce que je manque quelque chose?

Answer 1

Etes-vous sûr que l'action du contrôleur en cours de publication est celle sur laquelle vous avez les attributs?

Answer 2

Avec asp.net 4, vous devez également configurer le mode de validation dans le fichier web.config.

définir les paramètres suivants comme un enfant de l'élément <system.web>:

<system.Web> 
    ... 
    <httpRuntime requestValidationMode="2.0"/>  

Asp.Net 4 définit le requestValidationMode à 4.0 par défaut, ce qui indique au système pour effectuer la validation de la demande avant la phase BeginRequst de la requête HTTP . La validation aura lieu avant que le système n'atteigne l'attribut d'action lui disant de ne pas valider la demande, rendant ainsi l'attribut inutile. La définition de requestValidationMode = "2.0" revient au comportement de validation de la requête asp.net 2.0, permettant à l'attribut ValidateInput de fonctionner comme prévu.

Answer 3

Veuillez noter que ces suggestions ne corrigeront pas les problèmes causés par un bogue qui se produit lorsque vous devez utiliser [ValidateInput (false)] en combinaison avec un FormCollection.

Voir: ASP.NET MVC 3 ValidateRequest(false) not working with FormCollection

Answer 4

Lorsque vous utilisez vos propres classeurs modèles qui mettent en œuvre le, vous remarquerez une interface de IModelBinder que ces liants modèles personnalisés valident toujours les données, quels que soient les attributs. Vous pouvez ajouter quelques lignes de code pour les classeurs modèles personnalisés respectent le filtre ValidateInput des actions:

 // First check if request validation is required 
     var shouldPerformRequestValidation = controllerContext.Controller.ValidateRequest && bindingContext.ModelMetadata.RequestValidationEnabled; 

     // Get value 
     var valueProviderResult = bindingContext.GetValueFromValueProvider(shouldPerformRequestValidation); 
     if (valueProviderResult != null) 
     { 
      var theValue = valueProviderResult.AttemptedValue; 

      // etc... 
     } 

Ceci est expliqué très bien par Martijn Boland ici: http://blogs.taiga.nl/martijn/2011/09/29/custom-model-binders-and-request-validation/

Answer 5

Ajoutez la ligne suivante de code:

GlobalFilters.Filters.Add(new ValidateInputAttribute(false)); 

à la méthode Application_Start().

Answer 6

Vous pouvez accéder au champ comme HttpContext.Request.Unvalidated.Form [ « FieldName »]

Answer 7

Si vous utilisez un modèle d'entrée et utilisez un AllowHtml sur la propriété que vous voulez, vous serez débloquée.

public class InputModel 
{ 
    [AllowHtml] 
    public string HtmlInput { get; set; } 
} 

... 
[ValidateInput(false)] 
public async Task<ActionResult> ControllerMethod(InputModel model) 
{ 
}