在ASP.NET MVC中如何避免HttpRequestValidationException渲染引起exception的相同视图
我只想知道如何在ASP.NET MVC中validation（或清除）用户input，以便不pipe提交的值如何都不会抛出HttpRequestValidationException。 例如，用文本input，如果用户input<BR/> ，则会引发exception，并显示黄色死亡屏幕。 我不要那个。 我想捕捉exception，并在当前视图中显示一个用户友好的错误，最好是与提交相同的值加载的控件。
我发现这个http://www.romsteady.net/blog/2007/06/how-to-catch-httprequestvalidationexcep.html ，但它对我的目的是没用的。 另外，我发现这个http://msdn.microsoft.com/en-us/library/aa973813.aspx，并试图把模型粘合剂，但我不能让工作。
使用最新版本的ASP.NET MVC（RC，在写这篇文章的时候），你可以在你的控制器类或者操作方法上加一个属性，例如：
[ValidateInput(false)] public ActionResult create() { // ...method body }
ValidateInputAttribute在System.Web.Mvc中。
但正如其他人所说，你必须执行自己的手动inputvalidation或清理。
使用MVC 3，您还必须确保这是在您的Web.config： <system.web><httpRuntime requestValidationMode="2.0" /></system.web>
在ASP MVC 3中，你可以在你的Model / ViewModel的单个字段/属性上使用[AllowHtml]属性来closures对这个字段的validation，这是非常好的。 我将这个属性添加到我的模型中的某些字段，然后使用优秀的AntiXSS库（也可以通过NuGet）通过调用Sanitizer.GetSafeHtmlFragment(mymodel.Description)来清理用户input（其中“Description”属性是我的视图模型的string属性，应用了[AllowHtml]属性）
有关如何使用筛选器捕获此（及其他）exception的详细示例，请参阅： http : //code.google.com/p/geochat/source/browse/Source/Web/GeoChat.MvcExtensions/ExceptionHandlerAttribute.cs
这将允许您保持validation，但防止用户看到“死亡的黄色屏幕”。
这是一个简化（可能过于简化）的版本：
[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, Inherited = true, AllowMultiple = true), AspNetHostingPermission(SecurityAction.LinkDemand, Level = AspNetHostingPermissionLevel.Minimal)] public class ExceptionHandlerAttribute : FilterAttribute, IExceptionFilter { private HandleErrorAttribute attribute = new HandleErrorAttribute(); public ExceptionHandlerAttribute() { this.ExceptionType = typeof(Exception); this.Order = 1; } public string View { get { return attribute.View; } set { attribute.View = value; } } public Type ExceptionType { get { return attribute.ExceptionType; } set { attribute.ExceptionType = value; } } public void OnException(ExceptionContext filterContext) { if (this.ExceptionType.IsInstanceOfType(filterContext.Exception)) { string controller = (string)filterContext.RouteData.Values["controller"]; string action = (string)filterContext.RouteData.Values["action"]; if (controller == null) controller = String.Empty; if (action == null) action = String.Empty; HandleErrorInfo model = new HandleErrorInfo(filterContext.Exception, controller, action); ViewResult result = new ViewResult(); result.ViewName = this.View; result.MasterName = String.Empty; result.ViewData = new ViewDataDictionary<HandleErrorInfo>(model); result.TempData = filterContext.Controller.TempData; filterContext.Result = result; filterContext.ExceptionHandled = true; filterContext.HttpContext.Response.Clear(); filterContext.HttpContext.Response.StatusCode = 500; } }
}
而不是在global.asax Application_Error中捕获错误，您可以通过为显式捕获此错误的控制器添加error handling程序来捕获错误，并使用错误消息和相应的视图数据redirect到视图。
我发现这个有点老， 发表如何做到这一点与属性。
ValidateInputAttribute是禁用请求validation的正确方法。 视图（aspx）中的声明方法不起作用，因为控制器负责接收请求（而不是视图/ aspx）。
将放置ValidateRequest =“false”到您的aspx视图声明，但消毒用户input您的代码中的文本，以避免一些xss攻击。
