Autoriser l'utilisateur à entrer du code HTML dans ASP.NET MVC - ValidateInput ou AllowHtml

Comment puis-je autoriser un utilisateur à saisir du code HTML dans un champ particulier à l'aide d'ASP.net MVC.

J'ai un formulaire long avec de nombreux champs qui sont mappés à cet objet complexe dans le contrôleur.

Je voudrais faire en sorte qu'un champ (la description) autorise le HTML sur lequel je préformerai mon propre assainissement plus tard.

Ajoutez l'attribut suivant l'action (post) dans le contrôleur pour lequel vous souhaitez autoriser le HTML:

[ValidateInput(false)] 

Edit: Selon les commentaires de Charlino :

Dans votre web.config, définissez le mode de validation utilisé. Voir MSDN :

<httpRuntime requestValidationMode="2.0" />

Edit septembre 2014: selon sprinter252 commentaires:

Vous devez maintenant utiliser l' [AllowHtml]attribut. Voir ci-dessous à partir de MSDN :

Pour les applications ASP.NET MVC 3, lorsque vous devez publier du code HTML dans votre modèle, n'utilisez pas ValidateInput (false) pour désactiver la validation des demandes. Ajoutez simplement [AllowHtml] à votre propriété de modèle, comme ceci:

public class BlogEntry {
    public int UserId {get;set;}
    [AllowHtml] 
    public string BlogText {get;set;}
 }

Qu'en est-il de l' [AllowHtml]attribut au-dessus de la propriété?

Ajouter au modèle:

using System.Web.Mvc;

Et à votre propriété

        [AllowHtml]
        [Display(Name = "Body")]
        public String Body { get; set; }

Ce code de mon point de vue le meilleur moyen d'éviter cette erreur. Si vous utilisez l'éditeur HTML, vous n'aurez pas de problèmes de sécurité car il est déjà restreint.

L'ajout [AllowHtml]de la propriété spécifique est la solution recommandée car de nombreux blogs et commentaires suggèrent de diminuer le niveau de sécurité, ce qui devrait être inacceptable.

En ajoutant cela, le framework MVC permettra au contrôleur d'être atteint et le code de ce contrôleur à exécuter.

Cependant, cela dépend de votre code, de vos filtres, etc., de la manière dont la réponse est générée et de l'existence d'une validation supplémentaire susceptible de déclencher une autre erreur similaire.

Dans tous les cas, l'ajout d'un [AllowHtml]attribut est la bonne réponse, car il permet de désérialiser le html dans le contrôleur. Exemple dans votre viewmodel:

[AllowHtml]
public string MessageWithHtml {get; set;}

J'ai rencontré le même problème bien que j'aie ajouté [System.Web.Mvc.AllowHtml]à la propriété concernant comme décrit dans certaines réponses.

Dans mon cas, j'ai une UnhandledExceptionFilterclasse qui accède à l'objet Request avant la validation MVC (et donc AllowHtml n'a pas d'effet) et cet accès déclenche un [HttpRequestValidationException] A potentially dangerous Request.Form value was detected from the client.

Cela signifie que l'accès à certaines propriétés d'un objet Request déclenche implicitement la validation (dans mon cas, c'est la Paramspropriété).

Une solution pour empêcher la validation est documentée sur MSDN

Pour désactiver la validation de demande pour un champ spécifique dans une demande (par exemple, pour un élément d'entrée ou une valeur de chaîne de requête), appelez la méthode Request.Unvalidated lorsque vous obtenez l'élément, comme indiqué dans l'exemple suivant

Par conséquent, si vous avez un code comme celui-ci

var lParams = aRequestContext.HttpContext.Request.Params;
if (lParams.Count > 0)
{
  ...

changez-le en

var lUnvalidatedRequest = aRequestContext.HttpContext.Request.Unvalidated;

var lForm = lUnvalidatedRequest.Form;
if (lForm.Count > 0)
{
  ...

ou utilisez simplement la Formpropriété qui ne semble pas déclencher la validation

var lForm = aRequestContext.HttpContext.Request.Form;
if (lForm.Count > 0)
{
  ...

Si vous devez autoriser l'entrée html pour le paramètre de méthode d' action (par opposition à "propriété du modèle"), il n'y a pas de moyen intégré de le faire, mais vous pouvez facilement y parvenir en utilisant un classeur de modèle personnalisé:

public ActionResult AddBlogPost(int userId,
    [ModelBinder(typeof(AllowHtmlBinder))] string htmlBody)
{
    //...
}

Le code AllowHtmlBinder:

public class AllowHtmlBinder : IModelBinder
{
    public object BindModel(ControllerContext controllerContext, ModelBindingContext bindingContext)
    {
        var request = controllerContext.HttpContext.Request;
        var name = bindingContext.ModelName;
        return request.Unvalidated[name]; //magic happens here
    }
}

Trouvez le code source complet et l'explication dans mon article de blog: https://www.jitbit.com/alexblog/273-aspnet-mvc-allowing-html-for-particular-action-parameters/

L'encodage d'URL des données fonctionne aussi bien pour moi

Par exemple

var data = '<b> Bonjour </b>'

Dans le navigateur, appelez encodeURIComponent (données) avant de publier

Sur le serveur, appelez HttpUtility.UrlDecode (receive_data) pour décoder

De cette façon, vous pouvez contrôler exactement la zone de champs autorisée à avoir du HTML

J'ai rencontré ce problème lors du développement d'un site E-Commerce utilisant NopCommerce, j'ai obtenu cette solution de 3 manières différentes comme les réponses précédentes. Mais selon la structure NopCommerce, je n'ai pas trouvé ces trois à la fois. Je viens de voir que là-bas, ils utilisent juste [AllowHtml]et ça marche bien sauf aucun problème. Comme question précédemment posée

Personnellement, je ne préfère pas [ValidateInput(false)]parce que je saute la vérification totale de l'entité du modèle, ce qui n'est pas sûr. Mais si quelqu'un vient d'écrire, regarde ici

[AllowHtml] 
public string BlogText {get;set;}

alors il ne fait qu'ignorer une seule propriété, et n'autorise qu'une propriété particulière et ne vérifie presque pas toutes les autres entités. Par conséquent, il semble préférable envers le mien.

Dans mon cas, l'attribut AllowHtml ne fonctionnait pas lorsqu'il était combiné avec le filtre d'action OutputCache. Cette réponse a résolu le problème pour moi. J'espère que cela aide quelqu'un.

Vous pouvez utiliser [AllowHtml]pour votre projet par exemple

 [AllowHtml]
 public string Description { get; set; }

Pour utiliser ce code dans la bibliothèque de classes, vous installez ce package

Install-Package Microsoft.AspNet.Mvc

Après utilisation using

using System.Web.Mvc;

Aucune des réponses ici n'a fonctionné pour moi malheureusement.

J'ai fini par utiliser la liaison de modèle personnalisée et j'ai utilisé un désinfectant tiers.

Voir ma question auto-répondue ici .