Bật xác thực yêu cầu lõi asp.net

Question

Tôi có thiếu thứ gì đó hoặc lõi asp.net cho phép đăng thẻ script trong trường văn bản của người dùng không? Trong các phiên bản trước của asp.net mvc, tôi cần cho phép nó bằng thuộc tính [AllowHtml].

Có cách nào để bật xác thực lại có thể có giá trị nguy hiểm không?

tôi rảnh nộp giá trị như

<script src='http://test.com/hack.js'></script> 

trong bài mẫu.

mẫu:

using System.ComponentModel.DataAnnotations; 

namespace Test.Models 
{ 
    public class TestModel 
    { 
     [MaxLength(500)] 
     public string Content { get; set; } 
    } 
} 

Bộ điều khiển:

using Microsoft.AspNetCore.Mvc; 
using Test.Models; 

namespace Test.Controllers 
{ 
    public class HomeController : Controller 
    { 
     public IActionResult Index() 
     { 
      var model = new TestModel { Content = "Test" }; 
      return View(); 
     } 

     [HttpPost] 
     public IActionResult Index(TestModel model) 
     { 
      if(!ModelState.IsValid) 
       return View(model); 

      return Content("Success"); 
     } 
    } 
} 

Xem:

@model TestModel 

<form asp-action="Index" asp-controller="Home" method="post"> 
    <div asp-validation-summary="All"></div> 
     <label asp-for="Content">Content<strong>*</strong></label> 
     <span asp-validation-for="Content"></span> 
     <input asp-for="Content" type="text" /> 
    </div> 
</form> 

Answer 1

ASP.NET Core không có một tính năng tương tự như Request validation, như Microsoft đã quyết định, rằng đó là không phải là một ý tưởng tốt. Để biết thêm thông tin, hãy xem phần thảo luận về vấn đề ASP.NET Core 'Default middleware for request validation, like IIS has'.

Điều đó có nghĩa là việc xác thực phải diễn ra trên mô hình gửi đến. Và trong Razor (.cshtml) , bạn nên xuất dữ liệu đầu vào do người dùng cung cấp như @Model.Content, mã hóa chuỗi đã cho.

Hãy nhớ rằng các kỹ thuật thoát có thể không hoạt động khi văn bản được xuất không nằm trong phần Html.

Vì vậy, không sử dụng @Html.Raw(..) trừ khi bạn biết rằng dữ liệu được cung cấp đã được vệ sinh.

Bổ sung:

• Bạn có thể muốn xem xét một Web Application Firewall (WAF) cho một bảo vệ chung chống lại yêu cầu độc hại (ví dụ XSS hoặc SQL Injection).
• Để bảo vệ người dùng của bạn khỏi bị tấn công XSS, bạn cũng có thể xem cung cấp Content Security Policy (CSP).