如何阻止ASP.NET MVC 5中页面URL参数传入Html.Action？

问题背景 #

根据Action(HtmlHelper, String, String, Object)的机制，routeValues参数会与当前页面的原始路由值合并并覆盖它们。但这种设计在搭配可选参数使用时存在明显安全隐患：

比如有如下子操作控制器方法：

[ChildActionOnly]
public PartialViewResult BigBanner(string bannername, string title = "")

当调用Html.Action("BigBanner", new { bannername = "HomeBanner" })时，预期title会使用默认空值、不渲染标题。但如果用户构造包含?title=SomethingBad的URL访问页面，这个URL参数会被合并到子操作的参数中，导致意外渲染内容，甚至可能引发XSS攻击。本质上，所有未在Html.Action调用中显式指定的可选参数，都可能被URL参数篡改，进而改变页面预期行为。

解决方案 #

可以通过以下几种方式禁止路由参数合并，彻底避免这类安全问题：

1. 显式传入所有可选参数的默认值

直接在Html.Action调用中明确指定每个可选参数的默认值，利用routeValues覆盖原始路由值的特性，强制忽略URL中的参数：

@Html.Action("BigBanner", new { bannername = "HomeBanner", title = "" })

这种方式简单直接，适合参数数量较少的场景。

2. 自定义HtmlHelper扩展方法，清空路由参数合并逻辑

创建自定义扩展方法，在调用子操作时仅使用传入的routeValues，不合并当前页面的路由参数：

public static class HtmlHelperExtensions
{
    public static MvcHtmlString ActionNoMerge(this HtmlHelper htmlHelper, string actionName, object routeValues)
    {
        var cleanRoute = new RouteValueDictionary();
        foreach (var kvp in new RouteValueDictionary(routeValues))
        {
            cleanRoute[kvp.Key] = kvp.Value;
        }
        return htmlHelper.Action(actionName, cleanRoute);
    }

    // 支持指定控制器名的重载版本
    public static MvcHtmlString ActionNoMerge(this HtmlHelper htmlHelper, string actionName, string controllerName, object routeValues)
    {
        var cleanRoute = new RouteValueDictionary();
        foreach (var kvp in new RouteValueDictionary(routeValues))
        {
            cleanRoute[kvp.Key] = kvp.Value;
        }
        return htmlHelper.Action(actionName, controllerName, cleanRoute);
    }
}

调用时使用自定义方法即可：

@Html.ActionNoMerge("BigBanner", new { bannername = "HomeBanner" })

这种方式通用且无需修改每个子操作，适合项目中大量使用子操作的场景。

3. 在子操作方法中强制重置可选参数

在子操作控制器方法里，手动忽略URL传入的未指定参数，强制使用方法定义的默认值：

[ChildActionOnly]
public PartialViewResult BigBanner(string bannername, string title = "")
{
    // 仅使用显式传入的参数值，忽略路由/URL中的参数
    if (!ControllerContext.RouteData.Values.ContainsKey("title"))
    {
        title = "";
    }
    return PartialView(new { Bannername = bannername, Title = title });
}

这种方式需要逐个修改子操作方法，适合临时修复单个方法的场景。

注意事项 #

• 无论采用哪种方式，都要确保所有用户可控的输出内容都经过HTML编码，避免XSS攻击。
• 建议优先使用自定义扩展方法，统一管控子操作的路由参数合并行为，减少重复代码和遗漏风险。

内容的提问来源于stack exchange，提问作者Andiih