Izinkan Pengguna untuk memasukkan HTML di ASP.NET MVC - ValidateInput atau AllowHtml

Bagaimana cara mengizinkan pengguna untuk memasukkan HTML ke dalam bidang tertentu menggunakan ASP.net MVC.

Saya memiliki formulir panjang dengan banyak bidang yang dipetakan ke objek kompleks ini di pengontrol.

Saya ingin membuat satu bidang (deskripsi) memungkinkan HTML yang akan saya bentuk sebelumnya pada sanitasi saya di lain waktu.

Tambahkan atribut berikut tindakan (post) di pengontrol yang Anda ingin izinkan HTML untuk:

[ValidateInput(false)] 

Edit: Sesuai komentar Charlino :

Di web.config Anda, atur mode validasi yang digunakan. Lihat MSDN :

<httpRuntime requestValidationMode="2.0" />

Edit September 2014: Sesuai sprinter, 252 komentar:

Anda sekarang harus menggunakan [AllowHtml]atribut tersebut. Lihat di bawah dari MSDN :

Untuk aplikasi ASP.NET MVC 3, saat Anda perlu memposting HTML kembali ke model Anda, jangan gunakan ValidateInput (false) untuk menonaktifkan Request Validation. Cukup tambahkan [AllowHtml] ke properti model Anda, seperti:

public class BlogEntry {
    public int UserId {get;set;}
    [AllowHtml] 
    public string BlogText {get;set;}
 }

Bagaimana dengan [AllowHtml]atribut di atas properti?

Tambahkan ke model:

using System.Web.Mvc;

Dan untuk properti Anda

        [AllowHtml]
        [Display(Name = "Body")]
        public String Body { get; set; }

Kode ini dari poin saya cara terbaik menghindari kesalahan ini. Jika Anda menggunakan editor HTML Anda tidak akan mengalami masalah keamanan karena sudah dibatasi.

Menambahkan [AllowHtml]pada properti tertentu adalah solusi yang disarankan karena ada banyak blog dan komentar yang menyarankan untuk menurunkan tingkat keamanan, yang seharusnya tidak dapat diterima.

Dengan menambahkan itu, kerangka kerja MVC akan memungkinkan Kontroler untuk dipukul dan kode dalam kontroler itu akan dieksekusi.

Namun, ini tergantung pada kode Anda, filter, dll., Bagaimana respons dibuat dan apakah ada validasi lebih lanjut yang mungkin memicu kesalahan serupa lainnya.

Bagaimanapun, menambahkan [AllowHtml]atribut adalah jawaban yang tepat, karena memungkinkan html untuk dideserialisasi di pengontrol. Contoh di viewmodel Anda:

[AllowHtml]
public string MessageWithHtml {get; set;}

Saya menghadapi masalah yang sama meskipun saya menambahkan [System.Web.Mvc.AllowHtml]ke properti terkait seperti yang dijelaskan dalam beberapa jawaban.

Dalam kasus saya, saya memiliki UnhandledExceptionFilterkelas yang mengakses objek Permintaan sebelum validasi MVC berlangsung (dan karena itu AllowHtml tidak berpengaruh) dan akses ini menimbulkan a [HttpRequestValidationException] A potentially dangerous Request.Form value was detected from the client.

Ini berarti, mengakses properti tertentu dari objek Request secara implisit mengaktifkan validasi (dalam kasus saya ini adalah Paramspropertinya).

Solusi untuk mencegah validasi didokumentasikan di MSDN

Untuk menonaktifkan validasi permintaan untuk bidang tertentu dalam permintaan (misalnya, untuk elemen masukan atau nilai string kueri), panggil metode Request.Unvalidated saat Anda mendapatkan item, seperti yang ditunjukkan pada contoh berikut

Oleh karena itu, jika Anda memiliki kode seperti ini

var lParams = aRequestContext.HttpContext.Request.Params;
if (lParams.Count > 0)
{
  ...

ubah menjadi

var lUnvalidatedRequest = aRequestContext.HttpContext.Request.Unvalidated;

var lForm = lUnvalidatedRequest.Form;
if (lForm.Count > 0)
{
  ...

atau cukup gunakan Formproperti yang tampaknya tidak mengaktifkan validasi

var lForm = aRequestContext.HttpContext.Request.Form;
if (lForm.Count > 0)
{
  ...

Jika Anda perlu mengizinkan masukan html untuk parameter metode tindakan (berlawanan dengan "properti model"), tidak ada cara bawaan untuk melakukannya, tetapi Anda dapat dengan mudah melakukannya menggunakan pengikat model khusus:

public ActionResult AddBlogPost(int userId,
    [ModelBinder(typeof(AllowHtmlBinder))] string htmlBody)
{
    //...
}

Kode AllowHtmlBinder:

public class AllowHtmlBinder : IModelBinder
{
    public object BindModel(ControllerContext controllerContext, ModelBindingContext bindingContext)
    {
        var request = controllerContext.HttpContext.Request;
        var name = bindingContext.ModelName;
        return request.Unvalidated[name]; //magic happens here
    }
}

Temukan source code lengkapnya dan penjelasannya di postingan blog saya: https://www.jitbit.com/alexblog/273-aspnet-mvc-allowing-html-for-particular-action-parameters/

URL Encoding data bekerja dengan baik untuk saya

Sebagai contoh

var data = '<b> Halo </b>'

Dalam panggilan browser encodeURIComponent (data) sebelum posting

Pada panggilan Server HttpUtility.UrlDecode (accept_data) untuk memecahkan kode

Dengan begitu Anda dapat mengontrol dengan tepat area bidang mana yang diizinkan untuk memiliki html

Saya telah menghadapi masalah ini selama pengembangan situs E-Commerce menggunakan NopCommerce, saya mendapatkan solusi ini dengan 3 cara berbeda seperti jawaban sebelumnya. Tetapi menurut struktur NopCommerce, saya tidak menemukan ketiganya sekaligus. Saya baru saja melihat bahwa di sana mereka hanya menggunakan [AllowHtml]dan berfungsi dengan baik kecuali ada masalah. Seperti yang ditanyakan sebelumnya pertanyaan yang

Secara pribadi saya tidak lebih suka [ValidateInput(false)]karena saya melewatkan pemeriksaan entitas model total, yang tidak aman. Tetapi jika ada yang baru saja menulis, lihat di sini

[AllowHtml] 
public string BlogText {get;set;}

maka itu hanya melewatkan satu properti saja, dan hanya mengizinkan hanya properti tertentu dan memeriksa hampir semua entitas lainnya. Oleh karena itu tampaknya lebih disukai daripada milik saya.

Dalam kasus saya, atribut AllowHtml tidak berfungsi saat digabungkan dengan filter tindakan OutputCache. Jawaban ini memecahkan masalah saya. Semoga ini bisa membantu seseorang.

Anda Dapat Menggunakan [AllowHtml]Untuk Proyek Anda Sebagai Contoh

 [AllowHtml]
 public string Description { get; set; }

Untuk Menggunakan Kode Ini Ke Perpustakaan Kelas Anda Menginstal Paket Ini

Install-Package Microsoft.AspNet.Mvc

Setelah Gunakan Ini using

using System.Web.Mvc;

Sayangnya, tidak ada jawaban di sini yang berhasil untuk saya.

Saya akhirnya menggunakan Custom Model Binding dan menggunakan Sanitizer pihak ketiga.

Lihat pertanyaan yang saya jawab sendiri di sini .