每当用户在我的web应用程序中的页面中发布包含<或>的内容时，我都会引发此异常。
我不想因为有人在文本框中输入了字符而引发异常或使整个web应用程序崩溃，但我正在寻找一种优雅的方式来处理这一问题。
捕获异常并显示
出现错误，请返回并重新键入整个表单，但这次请不要使用<
我觉得不够专业。
禁用后验证（validateRequest=“false”）肯定可以避免此错误，但这会使页面容易受到许多攻击。
理想情况下：当发生包含HTML限制字符的回发时，表单集合中的回发值将自动进行HTML编码。因此，我的文本框的.Text属性将是<；html>；
有没有办法让我从处理者那里做到这一点？
当前回答
如果您确实需要特殊字符，如，>，<等，请禁用页面验证。然后确保在显示用户输入时，数据是HTML编码的。
页面验证存在安全漏洞，因此可以绕过它。此外，不应仅依赖页面验证。
参见：http://web.archive.org/web/20080913071637/http://www.procheckup.com:80/PDFs/bypassing-dot-NET-ValidateRequest.pdf
其他回答
在web.config文件中的标记中，插入属性为requestValidationMode=“2.0”的httpRuntime元素。同时在pages元素中添加validateRequest=“false”属性。
例子：
<configuration>
<system.web>
<httpRuntime requestValidationMode="2.0" />
</system.web>
<pages validateRequest="false">
</pages>
</configuration>
如果您使用的是.NET 4.0，请确保将其添加到<system.web>标记内的web.config文件中：
<httpRuntime requestValidationMode="2.0" />
在.NET 2.0中，请求验证仅适用于aspx请求。在.NET 4.0中，它被扩展为包括所有请求。通过指定以下内容，可以恢复为仅在处理.aspx时执行XSS验证：
requestValidationMode="2.0"
您可以通过指定以下内容完全禁用请求验证：
validateRequest="false"
在我的例子中，使用asp:Textbox控件（asp.net4.5），而不是设置validateRequest=“false”的所有页面我用过
<asp:TextBox runat="server" ID="mainTextBox"
ValidateRequestMode="Disabled"
></asp:TextBox>
在导致异常的文本框上。
您可以使用以下内容：
var nvc = Request.Unvalidated().Form;
稍后，nvc[“yourKey”]应该会起作用。
如果您使用的是ASP.NET MVC，则此错误有一种不同的解决方案：
ASP.NET MVC–pages validateRequest=false不起作用？为什么ValidateInput（False）不工作？ASP.NET MVC RC1，VALIDATEINPUT，一个潜在的危险请求和陷阱
C#示例：
[HttpPost, ValidateInput(false)]
public ActionResult Edit(FormCollection collection)
{
// ...
}
Visual Basic示例：
<AcceptVerbs(HttpVerbs.Post), ValidateInput(False)> _
Function Edit(ByVal collection As FormCollection) As ActionResult
...
End Function
