MVC单体项目Ajax提交含HTML字符触发危险请求错误求助

先排查验证逻辑的优先级问题 #

• 检查项目里有没有全局验证过滤器或自定义Action过滤器，这些过滤器可能比控制器的[ValidateInput(false)]、模型的[AllowHtml]先拦截请求。可以先临时禁用全局验证过滤器测试，看看是不是优先级导致的问题。
• 去Web.config里确认requestValidationMode配置，.NET 4.x对应的是<httpRuntime requestValidationMode="4.5"/>，如果还是旧版本（比如2.0）的配置，[ValidateInput(false)]会直接失效，得改成对应编译器版本的配置。

精准使用[AllowHtml] #

• 别给所有文本字段都加[AllowHtml]，只给确实需要接收HTML的字段加。如果视图模型有嵌套对象，嵌套对象里的字段要接收HTML的话，得在嵌套字段上单独加[AllowHtml]，光在父模型上加没用。
• 核对提交的表单字段名和视图模型的属性名是否完全一致，字段名不匹配的话，[AllowHtml]根本不会生效。

正确用Request.Unvalidated绕过验证 #

• 用Request.Unvalidated的时候，要直接拿目标字段，比如写var htmlContent = Request.Unvalidated.Form["HtmlContent"];，别先通过Request.Form获取，因为常规获取会先触发验证。
• 要是结合模型绑定，可以在控制器方法里用[Bind(Exclude = "HtmlContent")]排除要跳过验证的字段，然后手动用Request.Unvalidated拿值再赋值给模型。

解决命名空间冲突与编译器升级的隐性问题 #

• 检查项目里有没有重复的Attribute定义，比如自定义了和系统重名的AllowHtml或ValidateInput，命名空间冲突会导致系统加载错Attribute。可以在代码里明确写全命名空间，比如[System.Web.Mvc.AllowHtml]来测试。
• 编译器从1.x升到4.x后，去Web.config的<compilation>节点确认targetFramework是对应.NET版本（比如targetFramework="4.8"），同时检查有没有旧版本的程序集引用（比如旧版System.Web.Mvc），得统一升级到和编译器匹配的MVC版本。

排查EF相关的间接影响 #

• 虽然数据能存，但要检查控制器方法里有没有其他地方调用Request.Form操作，比如日志记录时没用到Unvalidated，这也会触发验证错误。
• 确认EF实体类和视图模型是分离的，如果实体类上有数据验证Attribute，模型绑定后映射实体时可能触发额外验证，得确保实体类的验证逻辑不会干扰请求阶段的验证。

调试定位错误触发点 #

• 开启ASP.NET详细错误日志，在Web.config里设置<customErrors mode="Off"/>和<system.webServer><httpErrors errorMode="Detailed"/></system.webServer>，拿到更详细的错误堆栈，确认是模型绑定、过滤器还是其他环节出的问题。
• 用Visual Studio断点，在控制器入口、自定义模型绑定逻辑、全局过滤器里加断点，跟踪请求流程，找到触发“危险请求”错误的具体代码位置。

内容的提问来源于stack exchange，提问作者user6850