Disabled request validation (ARCH335)

Anahtar dotnet.security.disabled-request-validation · Önem warning · Kategori security · CWE CWE-79

[ValidateInput(false)] kullanmak yerleşik istek doğrulamasını devre dışı bırakır ve potansiyel olarak tehlikeli HTML/script içeriğinin işlenmesine izin verir. Bu, siteler arası betik (XSS) saldırılarına yol açabilir.

Hatalı

[HttpPost]
[ValidateInput(false)]
public ActionResult SaveComment(string body)
{
    _comments.Save(body);
    return RedirectToAction("Index");
}

Doğru

[HttpPost]
public ActionResult SaveComment(string body)
{
    var sanitized = _sanitizer.Sanitize(body);
    _comments.Save(sanitized);
    return RedirectToAction("Index");
}

Düzeltme

[ValidateInput(false)] kullanmaktan kaçının; zengin içerik gerekiyorsa girdiyi güvenilir bir HTML sanitizer ile temizleyin ve çıktıyı kodlayın.