Per ragioni di sicurezza, in ASP.NET ogni richiesta effettuata al server è soggetto ad un processo di validazione; lo scopo è quello di evitare attacchi di cross-site scripting, sollevando un'eccezione nel caso in cui il contenuto sia giudicato potenzialmente pericoloso, ad esempio perchè composto da markup HTML. Ovviamente, in alcune pagine, può essere necessario accettare del markup (pensiamo ad esempio all'editor di un blog); ASP.NET 4.5 aggiunge diverse novità per rendere più semplice l'attivazione/disattivazione di questa funzionalità, che possono essere abilitate modificando il web.config come indicato in basso.
<httpRuntime requestValidationMode="4.5" />
Prima di questa versione, l'unica alternativa che avevamo per consentire l'input di markup HTML era quello di disabilitare la validazione sull'intera pagina. Ora, invece, tutti i controlli sono dotati di una proprietà ValidateRequestMode, che può essere impostata a uno di questi tre valori:
- Inherit (impostazione di default): il comportamento viene ereditato dal controllo parent;
- Enabled: il controllo effettua la validazione del contenuto;
- Disabled: il controllo non effettua la validazione del contenuto;
In questo modo abbiamo la possibilità di disabilitare la validazione in maniera selettiva, per esempio solo sui controlli su cui vogliamo consentire l'immissione del markup.
Un'altra novità è costituita, invece, dalla cosiddetta validazione "lazy", grazie alla quele il contenuto di una request viene verificato solo nel momento in cui effettivamente lo si utilizza:
var formValue = HttpContext.Current.Request["MyRequestKey"];
Il codice in alto, per esempio, ha l'effetto di scatenare la validazione della request solo ed esclusivamente per la chiave MyRequestKey. Eventualmente, è anche possibile accedere a questi valori senza che venga effettuata alcuna validazione sfruttando la proprietà Unvalidated:
var formValue = HttpContext.Current.Request.Unvalidated["MyRequestKey"];
In questo caso, ovviamente, è compito nostro assicurare la sicurezza del sistema, assicurandoci che il contenuto del dato che andiamo a leggere non sia dannoso.
Commenti
Per inserire un commento, devi avere un account.
Fai il login e torna a questa pagina, oppure registrati alla nostra community.
Approfondimenti
Riproduzione audio e video con la classe MediaPlayer nelle Universal Windows Platform
Escludere i tipi dal mapping di Entity Framework Core
Tecniche di alta disponibilità con Microsoft Azure
Sfruttare Adaptive Card e Timeline nelle applicazioni Windows 10
Integration testing con ASP.NET Core e Docker Compose
Usare TryUpdateModelAsync per aggiornare le entity nelle action di POST in ASP.NET Core MVC
Analisi di dati con Aggregation Framework di MongoDB
Utilizzare la direttiva ngStyle di Angular
Crittografare dati sensibili in ASP.NET Core per supportare GDPR
Creare effetti sulle immagini con le Composition API e lo XAML nella Universal Windows Platform
Introduzione ad Azure Cosmos DB
Specificare un certificato HTTPS per un'applicazione ASP.NET Core su Docker