如何在ASP.NET中允许密码包含<、>等特殊字符且不降低安全性

嘿，我懂你想让ASP.NET的密码字段支持<、>这类特殊字符，但又不想为了这个关掉全局请求验证而牺牲安全性——这完全可以做到，咱们精准处理就行，不用一刀切。

下面给你几个靠谱的方案，按推荐程度排序：

这种方式只针对密码输入框生效，不会影响页面上其他控件的安全验证。你只需要在ASP.NET的TextBox控件上加上ValidateRequestMode="Disabled"属性就行：

<asp:TextBox ID="txtPassword" runat="server" TextMode="Password" ValidateRequestMode="Disabled"></asp:TextBox>

重要安全提醒：关闭这个控件的验证后，你得自己做好后端的安全防护：

• 永远不要明文存储密码，一定要用强哈希算法（比如BCrypt、PBKDF2）加盐后存储，这是密码安全的基础。
• 如果后续需要在页面上展示和密码相关的内容（比如临时重置密码），记得用HttpUtility.HtmlEncode()做HTML编码，防止XSS攻击。

如果你用的是ASP.NET MVC，可以直接在模型的密码属性上添加[AllowHtml]特性，这样这个属性就会跳过请求验证，其他属性不受影响：

public class RegisterViewModel
{
    [Required(ErrorMessage = "请输入密码")]
    [MinLength(8, ErrorMessage = "密码长度不能少于8位")]
    [AllowHtml] // 允许该属性包含HTML特殊字符
    public string Password { get; set; }
}

同样，哈希存储和输出编码的安全步骤不能少。

如果有多个页面都需要支持特殊字符密码，可以在web.config里用<location>节点指定这些页面，只给它们关闭验证，而不是全局关闭：

<configuration>
  <location path="Account/Register">
    <system.web>
      <pages validateRequest="false" />
    </system.web>
  </location>
  <location path="Account/ChangePassword">
    <system.web>
      <pages validateRequest="false" />
    </system.web>
  </location>
</configuration>

这种方式的范围比单个控件大，所以更要确保这些页面的后端逻辑都做好了安全处理，比如密码哈希、输入合法性校验等。

• 可以给密码加自定义正则验证，既允许你需要的特殊字符，又能保证密码复杂度，比如这个正则示例（你可以根据需求调整）：

  ^(?=.*[A-Za-z])(?=.*\d)(?=.*[<>&@#$%^&*()_+])[A-Za-z\d<>&@#$%^&*()_+]{8,}$
  

  它要求密码至少包含字母、数字、指定特殊字符，长度不少于8位。
• 不管用哪种方案，都要确保后端对输入的密码没有做不必要的转义，哈希前保留原始字符（因为转义会改变密码的原始值，导致用户登录失败）。

内容的提问来源于stack exchange，提问作者Kiran