求助：解决Web API中“A potentially dangerous Request.Path/Form”错误

嘿，我之前也踩过这个坑，正好能给你几个实用的解决办法，按安全优先级排序，你可以根据自己的场景选：

1. 给单个模型属性加[AllowHtml]（最推荐，安全粒度最高） #

如果你的参数p是某个模型类的属性，直接在这个属性上标记[AllowHtml]特性就行。这样ASP.NET只会跳过对这个属性的请求验证，全局的安全防护还保留着：

public class YourRequestModel
{
    // 允许这个属性包含XML/HTML内容
    [AllowHtml]
    public string p { get; set; }
}

然后在Action里正常用模型绑定：

[HttpPost]
public ActionResult YourAction(YourRequestModel model)
{
    // 现在model.p应该能正确拿到XML内容了，不会再是null
    // 接下来就可以用XmlSerializer或者XDocument解析XML了
}

2. 给单个Action禁用请求验证（适合简单场景） #

如果p是直接作为Action的参数，或者你不想用模型绑定，可以给Action加[ValidateInput(false)]特性。不过注意，在.NET 4.0及以上版本，必须先在根目录的web.config里加一行配置，否则这个特性不会生效：
先修改根web.config的<system.web>节点：

<system.web>
  <!-- 把请求验证模式改成2.0，让Action级的验证设置生效 -->
  <httpRuntime requestValidationMode="2.0"/>
</system.web>

然后给你的Action加特性：

[HttpPost]
[ValidateInput(false)]
public ActionResult YourAction(string p)
{
    // 现在p就能正常获取到XML内容了
}

3. 手动读取请求流（彻底绕过表单验证拦截） #

如果上面的绑定方式还是拿不到值，大概率是请求验证在管道早期就拦截了Form数据，导致绑定失败。这时候可以直接读取原始的请求输入流，自己拿XML内容：

[HttpPost]
public ActionResult YourAction()
{
    // 先重置流的位置，因为框架可能已经读取过一次
    Request.InputStream.Position = 0;
    // 读取整个流的内容
    var rawXml = new StreamReader(Request.InputStream).ReadToEnd();
    // 自己解析XML，比如用XDocument
    var xmlDoc = XDocument.Parse(rawXml);
    // 后续处理逻辑
}

这种方式不需要改任何配置，但记得自己要做输入验证，避免恶意XML注入哦。

4. 修复目录级web.config的配置（解决你说的配置无效问题） #

如果你想给某个目录下的所有Controller都禁用请求验证，要确保目录级web.config的配置是正确的。在目标目录的web.config里，应该这么写：

<?xml version="1.0"?>
<configuration>
  <system.web>
    <!-- 禁用该目录下页面的请求验证 -->
    <pages validateRequest="false" />
    <!-- 必须加这个，否则.NET 4.0+的早期验证会覆盖目录配置 -->
    <httpRuntime requestValidationMode="2.0" />
  </system.web>
</configuration>

之前你配置无效，大概率是没加requestValidationMode="2.0"，因为.NET 4.0默认的验证模式会在管道非常早的阶段执行，目录级的配置根本没机会生效。

内容的提问来源于stack exchange，提问作者dan mann