Почему я получаю сообщение об ошибке клиента «Потенциально опасное значение Request.Form»?

Вы можете попробовать украсить действие контроллера, которому вы отправляете сообщение (и то, которое выдает это исключение), с помощью атрибута [ValidateInput(false)] (оставив <httpRuntime requestValidationMode="2.0"/> в web.config).

У меня такая же проблема.

Вот пример моего решения:

 [ValidateInput(false)]

    public ActionResult *YourMethodName*(FormCollection forms)
    {
          // Encoded String
          string EncodedValue = Server.HtmlEncode(forms[*name or index*]);

         // Normal String 
         string value = forms[*name or index*]

         //.... 
    }

Вам ничего не нужно в вашем webconfig.

Я написал об этом небольшую заметку в блоге здесь: http://erikbra.wordpress.com/2012/04/17/wif-saml-token-post-and-requestvalidationmode2-0/. Нет необходимости отключать проверку запросов или устанавливать ее на 2.0 для всего сайта.

Короче говоря, вам нужно только изменить режим requestValidationMode на 2.0 для определенного URL-адреса, на который WIF отправляет токен SAML. Это можно сделать с помощью элемента (подробности см. в элементе location (схема настроек ASP.NET)) в файле web.config, например:

<location path="WIFHandler">
  <system.web>
    <httpRuntime requestValidationMode="2.0" />
  </system.web>
</location>

Расположение «WIFHandler» не обязательно должно существовать в вашем приложении, так как WIF сократит конвейер до того, как ASP.NET попытается обработать запрос, и вместо этого перенаправит вас на обратный URL-адрес (ru в параметре wctx маркера SAML POST) .

В разделе конфигурации WIF файла web.config обязательно сопоставьте параметр «ответ» с местоположением, в котором вы установили режим проверки запроса на режим 2.0:

<microsoft.identityModel>
    <service>
      <federatedAuthentication>
        <wsFederation passiveRedirectEnabled="true" 
                      issuer="https://localhost/STS/" 
                      realm="https://localhost/MyApp/"
                      reply="https://localhost/MyApp/WIFHandler/" />

(...)

Во-первых, узкое, откуда это исходит. Используйте fiddler, чтобы выяснить, какое поле вызывает проблему. Элементы, такие как: ‹s, вызовут эту ошибку, если они будут опубликованы без кодирования. Также вы можете захотеть украсить свою МОДЕЛЬ атрибутом [AllowHtml] и попытаться не включать кодировку 2.0 - это немного опасно.

Копирование SampleRequestValidator из WIF SDK в проект и настройка в обоих файлах web.config

Это должно исправить это. Можете ли вы проверить, что код действительно выполняется? Если вы поместите точку останова в валидатор запросов, сработает ли она?

Я полагаю, вы поставили <httpRuntime...> под <system.web> правильно?

Я не вижу здесь никакого ответа, упомяните об этом. так вот оно идет.

В дополнение к «[ValidateInput(false)]» в вашем aspx вам может потребоваться добавить это на вашу ‹%@Page ...>

<%@ Page ValidateRequest="false">

Это позволит отключить проверку запросов для каждой страницы, а не для всего веб-приложения.

Я столкнулся с этой проблемой при прохождении учебника «Единый вход из Active Directory в приложение Windows Azure». В моем случае проблема заключалась в том, что я непреднамеренно поместил значение <httpRuntime ... /> в неправильный раздел <system.web /> в моем файле web.config (сначала я этого не заметил, но есть новый раздел <location> с путем «FederationMetadata», который также содержит system.web.). Значение должно быть помещено в секцию <system.web> верхнего уровня.

На первый взгляд это похоже на ошибку в библиотеке Azure Mvc3. MVC 3 предоставляет специальные API, которые позволяют извлекать непроверенные значения из коллекции Form, но модуль, похоже, их не использует.

Я не смог найти техническую причину, почему это не работает. Однако с точки зрения бизнес-требований это неправильный пример для моего конкретного решения, потому что он запрашивает аутентификацию перед доступом к каким-либо страницам. Однако доступ к домашней странице должен быть анонимным, чтобы можно было использовать кнопку «Войти».

Вместо этого я нашел пример пользовательского входа MVC3, который соответствует этим требованиям и оно работает.