在我的例子中，使用asp:Textbox控件（asp.net4.5），而不是设置validateRequest=“false”的所有页面我用过

<asp:TextBox runat="server" ID="mainTextBox"
            ValidateRequestMode="Disabled"
 ></asp:TextBox>

在导致异常的文本框上。

请记住，某些.NET控件将自动对输出进行HTML编码。例如，在TextBox控件上设置.Text属性将自动对其进行编码。这特别意味着将<转换为&lt；，>进入&gt；和&进入&amp；。所以要小心这样做。。。

myTextBox.Text = Server.HtmlEncode(myStringFromDatabase); // Pseudo code

然而，HyperLink、Literal和Label的.Text属性不会对内容进行HTML编码，因此包装Server.HtmlEncode（）；如果要防止<script>window.location=“http://www.google.com“；</script>被输出到页面并随后执行。

做一点实验，看看哪些被编码，哪些没有编码。

对于那些仍然停留在webforms上的人，我发现了以下解决方案，使您只能在一个字段上禁用验证！（我不想在整个页面上禁用它。）

VB.NET：

Public Class UnvalidatedTextBox
    Inherits TextBox
    Protected Overrides Function LoadPostData(postDataKey As String, postCollection As NameValueCollection) As Boolean
        Return MyBase.LoadPostData(postDataKey, System.Web.HttpContext.Current.Request.Unvalidated.Form)
    End Function
End Class

C#:

public class UnvalidatedTextBox : TextBox
{
    protected override bool LoadPostData(string postDataKey, NameValueCollection postCollection)
    {
        return base.LoadPostData(postDataKey, System.Web.HttpContext.Current.Request.Unvalidated.Form);
    }
}

现在只需使用<prefix:UnvalidatedTextBox id=“test”runat=“server”/>而不是<asp:TextBox，它应该允许所有字符（这非常适合密码字段！）

解决方案

我不想关闭后验证（validateRequest=“false”）。另一方面，应用程序崩溃是不可接受的，因为一个无辜的用户碰巧键入了<x或其他内容。

因此，我编写了一个客户端javascript函数（xssCheckValidates），用于进行初步检查。当试图发布表单数据时，调用此函数，如下所示：

<form id="form1" runat="server" onsubmit="return xssCheckValidates();">

该功能非常简单，可以改进，但它正在发挥作用。

请注意，这样做的目的不是为了保护系统免受黑客攻击，而是为了保护用户免受不良体验。在服务器上完成的请求验证仍处于打开状态，这是系统保护的一部分（在一定程度上它能够做到这一点）。

我之所以在这里说“部分”，是因为我听说内置的请求验证可能还不够，所以可能需要其他补充手段来提供充分的保护。但是，我这里介绍的javascript函数与保护系统无关。这只是为了确保用户不会有糟糕的体验。

你可以在这里试试：

函数xssCheckValidates（）{var有效=真；var inp=document.querySelectorAll(“输入：not（：禁用）：not（[readonly]）：not（[type=hidden]）”+“，textarea:not（：禁用）：not（[readonly]）”）；对于（变量i=0；i<inp.length；i++）{if（！inp[i].readOnly）{如果（inp[i].value.indexOf（'<'）>-1）{有效=假；打破}如果（inp[i].value.indexOf（'&#'）>-1）{有效=假；打破}}}if（有效）{返回true；}其他{alert（'在一个或多个文本字段中，您键入了\r\n字符“<”或字符序列“&#”。\r\n\r\n遗憾的是，这是不允许的，因为它可用于黑客尝试。\r\n\r\n请编辑字段并重试。'）；return false；}}<form onsubmit=“return xssCheckValidates（）；”>尝试键入<或&#<br/><input-type=“text”/><br/><textarea></textarea><input-type=“submit”value=“Send”/></form>

如果您确实需要特殊字符，如，>，<等，请禁用页面验证。然后确保在显示用户输入时，数据是HTML编码的。

页面验证存在安全漏洞，因此可以绕过它。此外，不应仅依赖页面验证。

参见：http://web.archive.org/web/20080913071637/http://www.procheckup.com:80/PDFs/bypassing-dot-NET-ValidateRequest.pdf

如果不想禁用ValidateRequest，则需要实现JavaScript函数以避免异常。这不是最好的选择，但它有效。

function AlphanumericValidation(evt)
{
    var charCode = (evt.charCode) ? evt.charCode : ((evt.keyCode) ? evt.keyCode :
        ((evt.which) ? evt.which : 0));

    // User type Enter key
    if (charCode == 13)
    {
        // Do something, set controls focus or do anything
        return false;
    }

    // User can not type non alphanumeric characters
    if ( (charCode <  48)                     ||
         (charCode > 122)                     ||
         ((charCode > 57) && (charCode < 65)) ||
         ((charCode > 90) && (charCode < 97))
       )
    {
        // Show a message or do something
        return false;
    }
}

然后在后面的代码中，在PageLoad事件中，使用下一个代码将属性添加到控件中：

Me.TextBox1.Attributes.Add("OnKeyPress", "return AlphanumericValidation(event);")