潜在的に危険なRequest.Form値がクライアントから検出されました

私はvalidateRequest="false"をASP.NETセキュリティに渡すことができます。私は、このフラグを設定するセキュリティ上の問題が原因で発生する可能性があることを知りたいと思います。 XSSライブラリを使用して入力をエンコードしている限り、何の問題もないことを100％保証できますか？潜在的に危険なRequest.Form値がクライアントから検出されました

出典

2010-12-30 DotnetDude

結果のHTMLページに表示されるデータを適切にエンコードする限り、かなり安全です。

出典

2010-12-30 15:03:06

どのようなデータについてです一方

？なぜ私はWebページ上にそれらを出力していない時代のように、不正な文字で値を掲示することで、検証メカニズムがとても積極的であるのだろうかと思います。 – DotnetDude

@DotnetDudeでは、表示はデータの処理の一種です。危険なスクリプトを実行する外部システム（Webブラウザ）に渡しています。したがって、外部システムのデータを適切にエンコードする限り、このデータを安全に渡すことができます。 –

私が理解するように、この検証は '<'と '>'文字のみを保護します。 <スクリプト>警告（「Fワード」）あなたのブログの記事のコメントで< /スクリプト>を入れて誰か...

出典

2010-12-30 15:05:57 s3kan

私は限り、あなたは、あなたがすべきdo encode your outputとして（前述のように）いくつかのアプリケーションでそれをオフにしなければなりませんでした大丈夫です。そして、あなたの唯一の武器である必要はありません。for XSS prevention - How To: Prevent Cross-Site Scripting in ASP.NETあなたが表示されていないusing MVC3 you can disable request validation at a more granular level

出典

2010-12-30 15:09:16 ziya

「あなたはXSS防止のためのリクエストの検証**のみを信頼するべきですか？」と書いていますか？むしろ「すべきではない**」よりも？ – AaronLS

@AaronL私はXSSに対する他の方法を指摘した。あなたは今それが少しはっきりと読んでいると思いますか？ – ziya

はい、今はっきりしています。私はあなたがCSRFのような他の脅威があることを証明しようとしていると思っていましたが、validateRequestは本当に助けになりません（私が知る限り）。 – AaronLS

潜在的に危険なRequest.Form値がクライアントから検出されました

答えて

関連する問題