ASP.NET MVC系统用户输入含不可见非法字符的解决方案咨询

针对你遇到的用户复制含BOM（U+FEFF）、空字节（0x00）等不可见非法字符触发验证的问题，给出以下几个落地性强的方案：

1. 优化验证提示，精准告知问题 #

不要只给“输入包含非法字符”这种模糊提示，要明确指出是**不可见的特殊字符（如字节顺序标记、空字节）**导致的问题，同时给出简单的解决指引。

• 在ASP.NET MVC中，自定义验证属性（继承ValidationAttribute），在验证逻辑中检测具体的非法字符类型，返回针对性提示：

  public class NoInvisibleInvalidCharsAttribute : ValidationAttribute
  {
      protected override ValidationResult IsValid(object value, ValidationContext validationContext)
      {
          if (value is string input && !string.IsNullOrEmpty(input))
          {
              if (input.Contains('\uFEFF') || input.Contains('\0'))
              {
                  return new ValidationResult("输入包含不可见的无效字符（如复制自邮件/旧记录的特殊标记），请尝试粘贴到记事本后再复制进来，或手动清理内容");
              }
          }
          return ValidationResult.Success;
      }
  }
  

• 把这个属性应用到模型的输入字段上，替代或补充原有的白名单验证提示。

2. 自动清理已知的不可见非法字符，而非盲目截断 #

针对明确的问题字符（U+FEFF、0x00），在输入进入验证逻辑前自动移除，同时保留用户的有效内容，避免误删。

• 方案A：自定义模型绑定器
  实现IModelBinder，在绑定字符串类型参数时，自动过滤指定的不可见字符：

  public class CleanInvisibleCharsModelBinder : IModelBinder
  {
      public Task BindModelAsync(ModelBindingContext bindingContext)
      {
          var valueProviderResult = bindingContext.ValueProvider.GetValue(bindingContext.ModelName);
          if (valueProviderResult != ValueProviderResult.None)
          {
              var input = valueProviderResult.FirstValue;
              if (!string.IsNullOrEmpty(input))
              {
                  // 移除BOM和空字节
                  var cleanedInput = input.Replace("\uFEFF", "").Replace("\0", "");
                  bindingContext.Result = ModelBindingResult.Success(cleanedInput);
              }
          }
          return Task.CompletedTask;
      }
  }
  

  然后在模型字段上标记[ModelBinder(typeof(CleanInvisibleCharsModelBinder))]，或者全局注册该绑定器处理所有字符串类型。
• 方案B：前端预处理
  监听输入框的paste事件，在内容粘贴到输入框前就过滤掉非法字符，减少后端处理压力：

  document.getElementById('yourInputId').addEventListener('paste', function(e) {
      e.preventDefault();
      const clipboardData = e.clipboardData || window.clipboardData;
      let pastedText = clipboardData.getData('text');
      // 移除BOM和空字节
      pastedText = pastedText.replace(/\uFEFF/g, '').replace(/\x00/g, '');
      // 将处理后的内容插入输入框
      document.execCommand('insertText', false, pastedText);
  });
  

• 无论用哪种方式，建议在清理后给用户一个轻量提示（比如右上角的临时通知）：“已自动清理输入中的不可见无效字符”，避免用户疑惑内容为何有细微变化。

3. 白名单验证的差异化处理 #

将“误带入的不可见字符”和“真正的恶意非法字符”区分开：

• 原白名单验证保留，用于拦截明确的恶意字符（如脚本标签、特殊符号）；
• 单独增加一层针对不可见字符的检测逻辑，对这类字符优先采用自动清理+提示，而非直接拦截，只有清理后仍不符合白名单的内容才触发报错。

内容的提问来源于stack exchange，提问作者renegato