ASP.NET MVCでの入力の検証

Question

ASP.NET MVCでのユーザー入力の検証/クリーニングに関するベストプラクティスに関する提案があります。 ValidateInputはMVCフレームワーク内から処理できないため、ほとんどの場合Falseに設定する必要があります（アクションメソッドが起動する前でもエラーがスローされているようです）。

したがって、入力が悪意のある入力に対してどのように検証されるべきですか。 タグなどの入力を許可したいだけで、入力やその他の入力を禁止するのはどうでしょうか？これはかなり一般的な要件でなければなりません今Webアプリケーションのが、私はこれを自動化するASP.NET MVCで多くを見ることができません。

Answer 1

、どのように入力が悪意のある入力のために検証する必要があります。\

それは何に依存しますあなたのアプリケーションはこの入力をしています。たとえば、リレーショナルデータベースに格納する場合は、パラメータ化されたクエリを使用し、ユーザー要求を適切にエンコードする限り、リレーショナルデータベース指定された列に例えばalert('foo');のような格納を気にしないでください。問題が発生する場合は、このデータベースに格納されている結果を取得して、一部のビューに表示しようとするときです。その時点で、結果が適切にHTMLエンコードされていることを確認する必要があります。

たとえば、データストアに過度に危険な文字列を格納し、それをビューに表示するとします。あなたは、単に希望かみそりビューエンジン使用していた場合：

@Html.DisplayFor(x => x.SomeProperty) 

あなたはドンように適切にHTML SomePropertyの値を符号化するの世話をします; tは心配する必要があります。

そして、あなたはWebフォームを使用していた場合は表示エンジン：

が

• は常に使用：だから

  <%= Html.DisplayFor(x => x.SomeProperty) %> 
  

  、あなたがユーザーの入力には注意する必要があります2つの重要な瞬間がある見ることができるようにこのユーザー入力をリレーショナルデータベースに格納する場合は、パラメータ化されたクエリ

• いつでも、HTMLビューでレンダリングするときに保存した値をエンコードします。