Per ragioni di sicurezza, in ASP.NET ogni richiesta effettuata al server è soggetto ad un processo di validazione; lo scopo è quello di evitare attacchi di cross-site scripting, sollevando un'eccezione nel caso in cui il contenuto sia giudicato potenzialmente pericoloso, ad esempio perchè composto da markup HTML. Ovviamente, in alcune pagine, può essere necessario accettare del markup (pensiamo ad esempio all'editor di un blog); ASP.NET 4.5 aggiunge diverse novità per rendere più semplice l'attivazione/disattivazione di questa funzionalità, che possono essere abilitate modificando il web.config come indicato in basso.
<httpRuntime requestValidationMode="4.5" />
Prima di questa versione, l'unica alternativa che avevamo per consentire l'input di markup HTML era quello di disabilitare la validazione sull'intera pagina. Ora, invece, tutti i controlli sono dotati di una proprietà ValidateRequestMode, che può essere impostata a uno di questi tre valori:
- Inherit (impostazione di default): il comportamento viene ereditato dal controllo parent;
- Enabled: il controllo effettua la validazione del contenuto;
- Disabled: il controllo non effettua la validazione del contenuto;
In questo modo abbiamo la possibilità di disabilitare la validazione in maniera selettiva, per esempio solo sui controlli su cui vogliamo consentire l'immissione del markup.
Un'altra novità è costituita, invece, dalla cosiddetta validazione "lazy", grazie alla quele il contenuto di una request viene verificato solo nel momento in cui effettivamente lo si utilizza:
var formValue = HttpContext.Current.Request["MyRequestKey"];
Il codice in alto, per esempio, ha l'effetto di scatenare la validazione della request solo ed esclusivamente per la chiave MyRequestKey. Eventualmente, è anche possibile accedere a questi valori senza che venga effettuata alcuna validazione sfruttando la proprietà Unvalidated:
var formValue = HttpContext.Current.Request.Unvalidated["MyRequestKey"];
In questo caso, ovviamente, è compito nostro assicurare la sicurezza del sistema, assicurandoci che il contenuto del dato che andiamo a leggere non sia dannoso.
Commenti
Per inserire un commento, devi avere un account.
Fai il login e torna a questa pagina, oppure registrati alla nostra community.
Approfondimenti
Generare file per il download da Blazor WebAssembly
Gestire i null nelle reactive form tipizzate di Angular
Elencare le container images installate in un cluster di Kubernetes
Usare un KeyedService di default in ASP.NET Core 8
Creare un'applicazione React e configurare Tailwind CSS
Utilizzare le collection expression in C#
Ottimizzare il mapping di liste di tipi semplici con Entity Framework Core
Autenticarsi in modo sicuro su Azure tramite GitHub Actions
Utilizzare la versione generica di EntityTypeConfiguration in Entity Framework Core
Evitare la command injection in un workflow di GitHub
Registrare servizi multipli tramite chiavi in ASP.NET Core 8
Utilizzare la libreria Benchmark.NET per misurare le performance