ASP.NET MVC 使用自定义模型绑定程序时从客户端检测到潜在危险的 Request.Form 值

在这里得到错误：

ValueProviderResult value = bindingContext.ValueProvider.GetValue("ConfirmationMessage");

如何仅允许选择值？ IE。

[ValidateInput(false)]
public object BindModel(ControllerContext controllerContext, ModelBindingContext bindingContext)
{
    ValueProviderResult value = bindingContext.ValueProvider.GetValue("ConfirmationMessage");
    ValueProviderResult value2 = bindingContext.ValueProvider.GetValue("ConfirmationMessage2");
}

你有几个选择。

在模型上将此属性添加到您需要允许 HTML 的每个属性 -最好的选择

using System.Web.Mvc;

[AllowHtml]
public string SomeProperty { get; set; }

在控制器操作上添加此属性以允许所有 HTML

[ValidateInput(false)]
public ActionResult SomeAction(MyViewModel myViewModel)

web.config 中的暴力破解 -绝对不推荐

在 web.config 文件的标记内，插入具有 requestValidationMode="2.0" 属性的 httpRuntime 元素。还要在页面元素中添加 validateRequest="false" 属性。

<configuration>
  <system.web>
   <httpRuntime requestValidationMode="2.0" />
  </system.web>
  <pages validateRequest="false">
  </pages>
</configuration>

更多信息：http://davidhayden.com/blog/dave/archive/2011/01/16/AllowHtmlAttributeASPNETMVC3.aspx http://davidhayden.com/blog/dave/archive/2011/01/16/AllowHtmlAttributeASPNETMVC3.aspx

以上适用于默认 modelbinder 的用法。

自定义模型绑定器

看来，无论任何属性如何，上面代码中对 bindingContext.ValueProvider.GetValue() 的调用始终会验证数据。深入研究 ASP.NET MVC 源代码会发现，DefaultModelBinder 首先检查请求是否需要验证，然后使用指示是否需要验证的参数调用 bindingContext.UnvalidatedValueProvider.GetValue() 方法。

不幸的是，我们无法使用任何框架代码，因为它是密封的、私有的或其他任何东西，以保护无知的开发人员免于做危险的事情，但创建一个尊重AllowHtml和ValidateInput属性的工作自定义模型绑定器并不太困难：

public class MyModelBinder: IModelBinder
{
    public object BindModel(ControllerContext controllerContext, ModelBindingContext bindingContext)
    {
        // First check if request validation is required
        var shouldPerformRequestValidation = controllerContext.Controller.ValidateRequest && bindingContext.ModelMetadata.RequestValidationEnabled;

        // Get value
        var valueProviderResult = bindingContext.GetValueFromValueProvider(shouldPerformRequestValidation);
        if (valueProviderResult != null)
        {
            var theValue = valueProviderResult.AttemptedValue;

            // etc...
        }
    }
}

另一个必需的部分是检索未经验证的值的方法。在此示例中，我们使用 ModelBindingContext 类的扩展方法：

public static class ExtensionHelpers
{
    public static ValueProviderResult GetValueFromValueProvider(this ModelBindingContext bindingContext, bool performRequestValidation)
    {
        var unvalidatedValueProvider = bindingContext.ValueProvider as IUnvalidatedValueProvider;
        return (unvalidatedValueProvider != null)
          ? unvalidatedValueProvider.GetValue(bindingContext.ModelName, !performRequestValidation)
          : bindingContext.ValueProvider.GetValue(bindingContext.ModelName);
    }
}

有关此的更多信息，请访问http://blogs.taiga.nl/martijn/2011/09/29/custom-model-binders-and-request-validation/ http://blogs.taiga.nl/martijn/2011/09/29/custom-model-binders-and-request-validation/