MVC5中如何在不禁用全局请求验证的前提下访问含HTML的Request.Params

我之前也踩过这个坑，其实你得搞清楚：[AllowHtml]特性只在MVC的模型绑定过程中生效，当你直接通过HttpContext.Current.Request.Params去取参数时，会绕开模型绑定的规则，所以哪怕模型属性加了[AllowHtml]，还是会触发请求验证。下面给你几个不用全局禁用请求验证的解决方案：

方法1：使用Request.Unvalidated获取未验证的参数 #

这是MVC专门提供的、针对单个参数跳过验证的方式，安全且简单。你只需要把代码改成：

string wlid = HttpContext.Current.Request.Unvalidated.Params["wlid"];

这个方法只会跳过你指定参数的验证，其他参数的请求验证依然正常生效，不会带来全局的安全风险，非常推荐。

方法2：临时禁用请求验证后恢复 #

如果因为某些原因必须用Request.Params直接获取，你可以临时关闭当前请求的验证，获取参数后再恢复原来的状态。记得用try-finally确保状态一定会恢复，避免影响后续逻辑：

// 保存原来的验证状态
bool originalValidationState = HttpContext.Current.Request.ValidationEnabled;
try
{
    // 临时关闭请求验证
    HttpContext.Current.Request.ValidationEnabled = false;
    // 获取参数
    string wlid = HttpContext.Current.Request.Params["wlid"];
    // 这里处理你的业务逻辑
}
finally
{
    // 恢复原来的验证状态
    HttpContext.Current.Request.ValidationEnabled = originalValidationState;
}

⚠️ 注意：这种方法在代码执行期间，当前请求的所有参数验证都会被关闭，所以尽量只在必要的代码块中使用，避免扩大安全风险。

方法3：回归MVC的模型绑定（最推荐） #

既然你已经给模型属性加了[AllowHtml]，那不如直接利用MVC的模型绑定机制来接收参数，这也是框架设计的初衷。比如：

首先定义你的模型：

public class MyRequestModel
{
    [AllowHtml]
    public string Wlid { get; set; }
    // 其他请求参数...
}

然后在Action中直接接收模型：

[HttpPost]
public ActionResult YourAction(MyRequestModel model)
{
    string wlid = model.Wlid;
    // 处理业务逻辑
}

这种方式不仅能正常触发[AllowHtml]的效果，还能让代码更符合MVC的设计模式，同时也更易维护和测试。

内容的提问来源于stack exchange，提问作者Mr. Flibble