0

MVC2(aspx)でquerystringに危険なコードが埋め込まれた場合は以下のエラーが発生します。

System.Web.HttpRequestValidationException: 危険な可能性のある Request.QueryString 値がクライアント (="...T 1,NULL,'<script>alert("XSS")...") から検出されました。

MVC3(razor)でquerystringに危険なコードが埋め込まれた場合の挙動は何も起きません(部分ビューがない画面のみ(以下参照))。
cshtmlに「@Html.Partial("aaaaaaaa")」が含まれているとHttpRequestValidat‌​ionException発生(以下のエラーが発生)」

{"ハンドラー System.Web.Mvc.HttpHandlerUtil+ServerExecuteHttpHandlerWrapper の子の要求を実行中にエラーが発生しました。"}

なぜ動作が違うのか原因がわかりません。
ご教授お願い致します。

0

2 件の回答 2

1

ASP.NET MVC3以降はベースとなるASP.NET及び.NET Frameworkが4系に移行しています。この影響で、MVC2とMVC3とでバリデーション方法が異なります。web.confingにてhttpRuntime要素のrequestValidationMode属性で動作を制御できます。

<configuration>
  <system.web>
    <httpRuntime requestValidationMode="2.0" />
  </system.web>
</configuration>

の設定を行うことで従来互換のバリデーションに変更できます。
(完全に同じ動作をするかどうかは把握していません。)

挙動が異なるだけでバリデーションが行われていないわけではないので、セキュリティを考慮すれば、無理に古いバリデーション方法を指定すべきではないと思います。

1
  • ご回答ありがとうございます!!requestValidationModeを指定しても挙動が変わりませんでした。Frameworkの移行によって若干の挙動が変わることがわかりました。ありがとうございました!
    – Ikuo Saito
    Commented 2017年7月14日 1:25
1

現在の.NET Frameworkの実装ではHttpRequestValidat‌​ionExceptionは実際に問題のあるパラメーターにアクセスした場合に発生します。ですので条件は大別して

  • RouteCollectionのパターンに登録されている
  • アクションの引数として定義されている
  • Request.Params[key]Request.QueryString[key]で値を読み出す

のいずれかになります。

ですのでパラメーターを直接読みだしている場合は処理フローにより例外が発生しないこともあり得ます。

1
  • ご回答ありがとうございます!!MVC2ではパラメータにアクセスしなくても「HttpRequestValidat‌​ionException」が発生するという認識で大丈夫ですかね?「すべてのパラメーターを部分ビューのためにコピーしており」←勉強になりました!ありがとうございました!
    – Ikuo Saito
    Commented 2017年7月14日 1:30

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。