Per ragioni di sicurezza, in ASP.NET ogni richiesta effettuata al server è soggetto ad un processo di validazione; lo scopo è quello di evitare attacchi di cross-site scripting, sollevando un'eccezione nel caso in cui il contenuto sia giudicato potenzialmente pericoloso, ad esempio perchè composto da markup HTML. Ovviamente, in alcune pagine, può essere necessario accettare del markup (pensiamo ad esempio all'editor di un blog); ASP.NET 4.5 aggiunge diverse novità per rendere più semplice l'attivazione/disattivazione di questa funzionalità, che possono essere abilitate modificando il web.config come indicato in basso.
<httpRuntime requestValidationMode="4.5" />
Prima di questa versione, l'unica alternativa che avevamo per consentire l'input di markup HTML era quello di disabilitare la validazione sull'intera pagina. Ora, invece, tutti i controlli sono dotati di una proprietà ValidateRequestMode, che può essere impostata a uno di questi tre valori:
- Inherit (impostazione di default): il comportamento viene ereditato dal controllo parent;
- Enabled: il controllo effettua la validazione del contenuto;
- Disabled: il controllo non effettua la validazione del contenuto;
In questo modo abbiamo la possibilità di disabilitare la validazione in maniera selettiva, per esempio solo sui controlli su cui vogliamo consentire l'immissione del markup.
Un'altra novità è costituita, invece, dalla cosiddetta validazione "lazy", grazie alla quele il contenuto di una request viene verificato solo nel momento in cui effettivamente lo si utilizza:
var formValue = HttpContext.Current.Request["MyRequestKey"];
Il codice in alto, per esempio, ha l'effetto di scatenare la validazione della request solo ed esclusivamente per la chiave MyRequestKey. Eventualmente, è anche possibile accedere a questi valori senza che venga effettuata alcuna validazione sfruttando la proprietà Unvalidated:
var formValue = HttpContext.Current.Request.Unvalidated["MyRequestKey"];
In questo caso, ovviamente, è compito nostro assicurare la sicurezza del sistema, assicurandoci che il contenuto del dato che andiamo a leggere non sia dannoso.
Commenti
Per inserire un commento, devi avere un account.
Fai il login e torna a questa pagina, oppure registrati alla nostra community.
Approfondimenti
Implementare il throttling in ASP.NET Core
Utilizzare l'operatore GroupBy come ultima istruzione di una query LINQ in Entity Framework
Mascherare l'output di un valore all'interno dei log di un workflow di GitHub
Sfruttare al massimo i topic space di Event Grid MQTT
Eseguire un metodo asincrono dopo il set di una proprietà in Blazor 8
Creazione di plugin per Tailwind CSS: espandere le Funzionalità del Framework
Creare form tipizzati con Angular
Ottimizzare il mapping di liste di tipi semplici con Entity Framework Core
Eseguire attività basate su eventi con Azure Container Jobs
Eseguire una query su SQL Azure tramite un workflow di GitHub
Utilizzare Tailwind CSS all'interno di React: primi componenti
Utilizzare i primary constructor in C#