.NET Framework中requestValidationMode 2.0与4.5无差异？求验证示例

我基于.NET Framework创建了一个Web应用程序，修改<httpRuntime>的requestValidationMode属性，从2.0改为4.5后，未发现任何功能差异。

原配置：

<httpRuntime requestValidationMode="2.0" enableVersionHeader="false" targetFramework="4.5" />

我编写了测试控制器代码，修改该设置后，输出仅requestValidationMode的显示值不同，其余完全一致。我想找到能体现两者差异的示例，或者确认该设置是否已失效？

测试控制器代码：

public class CommentController : Controller
{
    public ActionResult Index()
    {
        return View();
    }
    public class SaveCommentData {
        public string Comment2 { get; set; }
    }

    [HttpPost]
    public ActionResult SaveComment(SaveCommentData data)
    {
        var result = new StringBuilder();
        result.AppendLine("🔧 WEB.CONFIG SETTINGS CHECK");
        result.AppendLine("============================");
        result.AppendLine();

        try
        {
            var httpRuntimeSection = (HttpRuntimeSection)ConfigurationManager.GetSection("system.web/httpRuntime");
            if (httpRuntimeSection != null)
            {
                result.AppendLine($"📋 requestValidationMode: {httpRuntimeSection.RequestValidationMode}");
                result.AppendLine($"📋 targetFramework: {httpRuntimeSection.TargetFramework}");
                result.AppendLine($"📋 maxRequestLength: {httpRuntimeSection.MaxRequestLength} KB");
                result.AppendLine($"📋 executionTimeout: {httpRuntimeSection.ExecutionTimeout} seconds");
            }
            else
            {
                result.AppendLine("❌ Could not read httpRuntime section");
            }
        }
        catch (System.Exception ex)
        {
            result.AppendLine($"❌ Error reading httpRuntime: {ex.Message}");
        }

        result.AppendLine();


        try
        {
            string comment = Request.Form["comment"];

            result.AppendLine("✅ SUCCESS - Request.Form access worked!");
            result.AppendLine($"Comment received: {comment}");
            result.AppendLine("");
            result.AppendLine("This means:");
            result.AppendLine("• requestValidationMode = 2.0 (validation happens here, but your validateRequest=false disabled it)");
            result.AppendLine("• OR validation is completely disabled");
        }
        catch (System.Web.HttpRequestValidationException ex)
        {
            result.AppendLine("❌ BLOCKED - HttpRequestValidationException thrown!");
            result.AppendLine($"Error: {ex.Message}");
            result.AppendLine("");
            result.AppendLine("This means:");
            result.AppendLine("• requestValidationMode = 2.0 AND validateRequest = true");
            result.AppendLine("• Validation happened when accessing Request.Form");
        }

        // In mode 4.5, if you want to access potentially dangerous content:
        try
        {
            if (Request.Unvalidated != null)
            {
                string unvalidatedComment = Request.Unvalidated.Form["comment"];
                result.AppendLine("");
                result.AppendLine("🔍 UNVALIDATED ACCESS (4.5+ only):");
                result.AppendLine($"Raw content: {unvalidatedComment}");
                result.AppendLine("This proves requestValidationMode 4.5+ is available");
            }
        }
        catch
        {
            result.AppendLine("");
            result.AppendLine("ℹ️ Request.Unvalidated not available (older .NET version)");
        }

        return Content(result.ToString(), "text/plain");
    }
}

重现步骤：

• 打开VS创建新的.NET Framework Web项目
• 编辑Web.config：在<system.web>节点下添加配置行 <httpRuntime requestValidationMode="4.5" enableVersionHeader="false" targetFramework="4.7.2" />
• 创建上述控制器
• 通过Postman或前端UI向控制器发送POST请求
• 请求数据包含危险内容，例如 <script>alert("I am malicious")</script>
• 请求报错
• 将requestValidationMode改为2.0，请求仍报错

核心差异说明 #

requestValidationMode并未失效，你的测试场景未触碰到两者的核心差异点：

1. 验证时机不同
   • 2.0模式：请求验证在首次访问任何请求数据（如Request.Form、Request.QueryString）时触发，一旦检测到危险内容立即抛出HttpRequestValidationException，无法局部绕过（除非全局或控制器加validateRequest="false"）。
   • 4.5模式：验证延迟到ASP.NET MVC模型绑定阶段触发，且支持局部跳过验证（通过Request.Unvalidated或[AllowHtml]特性）。

可体现差异的测试示例 #

场景1：[AllowHtml]特性的生效差异

修改SaveCommentData类：

public class SaveCommentData {
    [AllowHtml] // 仅在requestValidationMode=4.5时生效
    public string Comment2 { get; set; }
}

• requestValidationMode=4.5：发送包含<script>的Comment2参数，模型绑定会成功接收内容，无报错。
• requestValidationMode=2.0：即使添加[AllowHtml]，首次访问请求数据时就会触发验证报错，无法进入模型绑定阶段。

场景2：Request.Unvalidated的可用性

• 4.5模式：无需设置validateRequest="false"，直接通过Request.Unvalidated.Form["comment"]即可获取未验证的危险内容。
• 2.0模式：不存在Request.Unvalidated对象，且只要访问Request.Form就会触发验证（除非全局禁用）。

场景3：全局validateRequest="true"下的验证时机

确保Web.config中<pages validateRequest="true" />（默认配置）：

• 2.0模式：请求到达控制器前，只要访问任何请求数据就会报错，根本无法进入SaveComment方法。
• 4.5模式：请求会先进入控制器方法，直到模型绑定阶段才会验证并报错（若未使用[AllowHtml]或Unvalidated）。

你的测试无差异的原因 #

你当前的测试中可能全局设置了validateRequest="false"，或在控制器/方法上标记了[ValidateInput(false)]，导致两种模式下的验证都被禁用，因此看不到差异。此外，测试代码直接访问Request.Form，若验证被禁用，两种模式的表现自然一致。

内容的提问来源于stack exchange，提问作者Sahin