我如何允许传递包含不安全单词的密码

Question

我正在开发一个 asp.net MVC4 Web 应用程序，对于登录，我使用的是使用 LDAP 连接字符串连接到我们的 AD 的表单身份验证，如下所示。 登录Get操作方法：-

[AllowAnonymous]
public ActionResult Login(string returnUrl)
{
    returnUrl = TempData["returnUrl"] != null ? TempData["returnUrl"].ToString() : String.Empty;
    List<String> domains = new List<String>();
    domains.Add("*****");
    ViewBag.ReturnUrl = returnUrl;
    ViewBag.Domains = domains;
    return View();
}

Login Post 操作方法：-

[HttpPost]
[AllowAnonymous]
[ValidateAntiForgeryToken]
public ActionResult Login(LoginModel model, string returnUrl)
{
    MembershipProvider domainProvider;
    domainProvider = Membership.Providers["TestDomain1ADMembershipProvider"];
    if (ModelState.IsValid)
    {
        // Validate the user with the membership system.
        if (domainProvider.ValidateUser(model.UserName, model.Password))
        {  
            FormsAuthentication.SetAuthCookie(model.UserName, model.RememberMe);
        }
        else
        {
            ModelState.AddModelError("", "The user name or password provided is incorrect.");
            List<String> domains2 = new List<String>();
            domains2.Add("****");
            ViewBag.Domains = domains2;
            return View(model);
        }

        return RedirectToLocal(returnUrl);
    }
    List<String> domains = new List<String>();
    domains.Add("****");
    ViewBag.Domains = domains;
    return View(model);
}

现在我已经使用这个系统 5 年了，从来没有遇到过用户登录的任何问题。但是今天一个新用户提到，当他尝试登录系统时，他会收到一个错误“处理您的请求时出错。”，如果出现未处理的异常，我们的系统会引发此错误被抚养。我检查了 IIS 日志，我可以看到用户没有访问系统。

所以我能想到的唯一问题是用户的密码包含 MVC 不允许的字符。例如，我尝试输入此密码 <script>@1234 以及我的用户名，而不是收到此消息“提供的用户名或密码不正确。”，我得到了相同的异常“处理您的请求时出错。".. 当然我不能要求用户提及他的密码，但我不确定如何允许 MVC 接受传递给它的任何密码？因为我想不出任何其他问题......因为通常当用户登录到应用程序时，他们要么；登录成功或得到“提供的用户名或密码不正确”。 ，但我从来没有遇到过用户遇到异常的问题......我可以通过传递不安全的字符来复制它<script>@1234

Answer 1

在您的LoginModel 中，将AllowHtmlAttribute 添加到Password 字段。这将绕过对 <script> 等输入的检查。

[AllowHtml]
public string Password { get; set; }

当然，请谨慎使用。 MVC 试图保护您免受脚本注入攻击，因此您应该只在可以确保安全处理值的少数情况下禁用此检查。 （在这种情况下，密码永远不应该显示给用户，因此即使其中有 HTML，它也无法将 HTML 注入到页面中。

或者，如果您无法更改 LoginModel 类，您可以尝试将 ValidateInputAttribute 添加到您的 Login POST 方法中。

[HttpPost]
[AllowAnonymous]
[ValidateAntiForgeryToken]
[ValidateInput(false)]
public ActionResult Login(LoginModel model, string returnUrl)