Validación de solicitud: ¿cómo y por qué está deshabilitada en SiteCore?

Question

Tenemos un cuadro de texto en el sitio que permite a los usuarios buscar cosas. Esto se devuelve al servidor que se apaga, realiza una búsqueda y arroja algunos resultados (mostrándolos en la pantalla).

Cuando ingreso algo dudoso, p. algunas marcas que esperaría recibir una excepción de .NET a lo largo de las líneas de:

A potentially dangerous Request.QueryString value was detected from the client (q="<img src="http://www..."). 

Como yo lo entiendo, that has been default behaviour since v1.1 of ASP.NET. Y luego en v4.0 permaneció como el predeterminado they just extended it to all requests (no solo páginas web).

Así que la pregunta es la siguiente:

1. how have sitecore disabled this? 
2. what can I do to re-enable this globally (i.e. not on a per page basis)? 

observo que hay una sección del web.config que comienza así:

<!-- Continue to run Sitecore without script validations --> 
<pages validateRequest="false" controlRenderingCompatibilityVersion="3.5" clientIDMode="AutoID"> 

Answer 1

Ha respondido a sus propias preguntas. Aquí están las respuestas a sus preguntas:

1. En Sitecore el valor por defecto web.config viene con este conjunto como <pages validateRequest="false" ... />

2. para encenderlo, la pusieron a true

Además, se puede Eche un vistazo a this blog post que indica que el procesador SuppressFormValidation en la tubería PreprocessRequest puede estar causando este problema.

Aquí está el código "ofender" a que se identificó:

namespace Sitecore.Pipelines.PreprocessRequest 
{ 
    public class SuppressFormValidation : PreprocessRequestProcessor 
    { 
     public override void Process(PreprocessRequestArgs args) 
     { 
      Assert.ArgumentNotNull(args, "args"); 
      try 
      { 
       NameValueCollection form = args.Context.Request.Form; 
      } 
      catch (HttpRequestValidationException exception) 
      { 
       if (!args.Context.Request.RawUrl.StartsWith("/sitecore/shell/", StringComparison.InvariantCultureIgnoreCase)) 
       { 
        Log.Error(exception.Message, exception, this); 
       } 
      } 
     } 
    } 
} 

La entrada del blog tiene nuevo código se puede reemplazar con sólo suprimir la validación en la cáscara Sitecore (la interfaz gráfica de back-end).