ASP.NET传递含0X的QueryString触发HTTP Error 404.19的问题咨询

问题原因分析 #

这个问题的核心差异在于本地开发环境（IIS Express）和生产IIS的请求安全规则不同：

• 本地IIS Express默认的请求过滤规则非常宽松，不会拦截类似0X这类序列；
• 生产环境的IIS默认启用了严格的Request Filtering（请求过滤）模块，它会将包含0X的查询字符串识别为潜在的危险请求序列（0X是十六进制数值的前缀，IIS默认会拦截这类可能用于注入或特殊字符绕过的内容），直接返回404.19错误（表示请求在到达ASP.NET应用程序之前，就被IIS的配置规则拦截了）。

这也是为什么你的try/catch完全没有触发的原因：请求根本没到你的业务代码执行环节。

解决方案 #

方案1：针对性调整IIS请求过滤配置（推荐，最小化安全风险）

不要全局关闭所有安全验证，而是在web.config中针对你的查询参数或页面添加允许规则：

1. 允许特定查询参数绕过过滤
   在web.config的<system.webServer>节点下添加以下配置，明确允许SearchValue这个查询参数：

<system.webServer>
  <security>
    <requestFiltering>
      <!-- 允许SearchValue这个查询参数的所有值 -->
      <alwaysAllowedQueryStrings>
        <add queryString="SearchValue" />
      </alwaysAllowedQueryStrings>
    </requestFiltering>
  </security>
</system.webServer>

2. 针对特定页面关闭请求验证
   如果上面的配置无效，可以针对出问题的QSRequest.aspx页面单独关闭请求验证（比全局关闭更安全），在web.config的<configuration>根节点下添加：

<configuration>
  <!-- 仅对QSRequest.aspx页面关闭请求验证 -->
  <location path="QSRequest.aspx">
    <system.web>
      <pages validateRequest="false" />
      <httpRuntime requestValidationMode="2.0" />
    </system.web>
  </location>
  
  <!-- 其他原有配置 -->
</configuration>

方案2：参数编码解码（临时Workaround）

虽然0X本身是URL合法字符，但你可以在传递参数前进行编码，确保IIS不会将其识别为特殊序列：

• 传递参数时编码：

// 在生成跳转URL时，对SearchValue进行编码
string rawValue = "KDZ0X";
string encodedValue = HttpUtility.UrlEncode(rawValue);
string targetUrl = $"QSRequest.aspx?SearchValue={encodedValue}";
// 然后使用targetUrl进行跳转

• 接收参数时解码：

protected void Page_Load(object sender, EventArgs e)
{
    string encodedSearchValue = Request.QueryString["SearchValue"];
    if (!string.IsNullOrEmpty(encodedSearchValue))
    {
        string searchValue = HttpUtility.UrlDecode(encodedSearchValue);
        Label1.Text += "SearchValue: " + searchValue;
    }
    else
    {
        Label1.Text += "<br/>No search value provided.";
    }
}

注意：UrlEncode对字母数字不会改变编码结果，但这个操作可以让IIS将其识别为普通的查询字符串值，而非潜在的特殊序列。

方案3：直接修改IIS管理器的请求过滤规则

如果你有权限操作生产环境的IIS管理器，可以直接可视化配置：

1. 打开IIS管理器，找到你的站点；
2. 双击请求过滤功能；
3. 切换到查询字符串标签，点击右侧的允许查询字符串，输入SearchValue并保存；
4. 也可以检查规则标签，看看是否有拦截0X相关序列的自定义规则，如有则删除或修改。

注意事项 #

• 尽量避免全局关闭validateRequest或请求过滤规则，会降低应用的安全性；
• 如果你选择修改web.config，修改后需要重启IIS站点让配置生效；
• 若你的应用部署在云服务器（如Azure App Service），可以在门户的“配置”->“应用程序设置”中找到对应的IIS配置选项，或者直接上传修改后的web.config。

内容来源于stack exchange