Onderwerp: Veilige formulieren met ASP.NET

Hallo,

Kan iemand me wat meer uitleg geven hoe veilige formulieren te
ontwerpen in asp.net?
Via google niet meteen iets bruikbaar teruggevonden.

Concreet zit ik met volgend probleem: als mensen html code in een
formulierveld invoeren, dan krijg ik een
System.Web.HttpRequestValidationException error terug.

Ik heb getracht deze via een try catch blok op te vangen, doch de
errorpagina van de iis server wordt nog steeds teruggegeven, de code
die na het catch statement staat wordt niet uitgevoerd.

Wat ik eigenlijk wil bereiken: de bezoekers mogen geen html code
invoeren (wat nogal logisch is, aangezien ik veilige formulieren wil),
maar die error zou ook niet mogen voorkomen. Kan ik eventueel die html
code daaruit filteren?

Groeten,
StriKe

--
Groeten,
StriKe

http://www.internetfreakz.be

"StriKe" <strike_usenet@internetfreakz.be.invalid> schreef in bericht
news:mn.8cad7d638497c60f.48459@internetfreakz.be.i nvalid...
> Hallo,
>
> Kan iemand me wat meer uitleg geven hoe veilige formulieren te ontwerpen
> in asp.net?
> Via google niet meteen iets bruikbaar teruggevonden.
>
> Concreet zit ik met volgend probleem: als mensen html code in een
> formulierveld invoeren, dan krijg ik een
> System.Web.HttpRequestValidationException error terug.
>
> Ik heb getracht deze via een try catch blok op te vangen, doch de
> errorpagina van de iis server wordt nog steeds teruggegeven, de code die
> na het catch statement staat wordt niet uitgevoerd.
>
> Wat ik eigenlijk wil bereiken: de bezoekers mogen geen html code invoeren
> (wat nogal logisch is, aangezien ik veilige formulieren wil), maar die
> error zou ook niet mogen voorkomen. Kan ik eventueel die html code daaruit
> filteren?
>
> Groeten,
> StriKe
>
> --
> Groeten,
> StriKe
>
> http://www.internetfreakz.be


Hoi kun je geen javascript ervoor gebruiken?
zie bv
http://javascript.webmastercity.nl/f...cript&show=256

Gerrit

Gerrit wrote:

> > Wat ik eigenlijk wil bereiken: de bezoekers mogen geen html code invoeren
> > (wat nogal logisch is, aangezien ik veilige formulieren wil), maar die
> > error zou ook niet mogen voorkomen. Kan ik eventueel die html code daaruit
> > filteren?

> kun je geen javascript ervoor gebruiken?
> zie bv
> http://javascript.webmastercity.nl/f...cript&show=256

Nounou, fijne pagina...

"ALs je html gebruikt komt er een alert"

Hmmzz..

"Klik HIER voor een demo van dit script."

Resultaat: "Pagina niet gevonden"

"welk browser gebruik jij?"

Als mensen geen fatsoenlijk Nederlands kunnen schrijven, neem ik aan dat
ze ook geen goed Javascript spreken.

--
Erik.

> Hoi kun je geen javascript ervoor gebruiken?
> zie bv
> http://javascript.webmastercity.nl/f...cript&show=256
>
> Gerrit

Thx voor je reactie

Echter, javascript lijkt me (en niet alleen om de reden die Erik geeft)
niet erg geschikt...

Andere oplossingen zijn nog steeds welkom

--
Groeten,
StriKe

http://www.internetfreakz.be

"StriKe" <strike_usenet@internetfreakz.be.invalid> schreef in bericht
news:mn.9b427d63bed9b4c9.48459@internetfreakz.be.i nvalid...
>> Hoi kun je geen javascript ervoor gebruiken?
>> zie bv
>> http://javascript.webmastercity.nl/f...cript&show=256
>>
>> Gerrit
>
> Thx voor je reactie
>
> Echter, javascript lijkt me (en niet alleen om de reden die Erik geeft)
> niet erg geschikt...
>
> Andere oplossingen zijn nog steeds welkom
>
> --
> Groeten,
> StriKe
>


Al gekeken naar de RegularExpressionValidator control? Zie
http://samples.gotdotnet.com/quickst...alidation.aspx

Gr. Fred

"StriKe" <strike_usenet@internetfreakz.be.invalid> schreef in bericht
news:mn.9b427d63bed9b4c9.48459@internetfreakz.be.i nvalid...
>> Hoi kun je geen javascript ervoor gebruiken?
>> zie bv
>> http://javascript.webmastercity.nl/f...cript&show=256
>>
>> Gerrit
>
> Thx voor je reactie
>
> Echter, javascript lijkt me (en niet alleen om de reden die Erik geeft)
> niet erg geschikt...
>
> Andere oplossingen zijn nog steeds welkom
>
> --
> Groeten,
> StriKe
>
> http://www.internetfreakz.be
>
>
En waarom dan niet als ik vragen mag?

Zie ook:

http://www.w3schools.com/asp/asp_inputforms.asp :

Form Validation

User input should be validated on the browser whenever possible (by client
scripts). Browser validation is faster and you reduce the server load.

You should consider using server validation if the user input will be
inserted into a database. A good way to validate a form on the server is to
post the form to itself, instead of jumping to a different page. The user
will then get the error messages on the same page as the form. This makes it
easier to discover the error.

Gerrit

In article <441da2b0$0$2031$ba620dc5@text.nova.planet.nl>,
"Gerrit" <gerrit_meijernospam@moetwegplanet.nl> writes:
[...]
> User input should be validated on the browser whenever possible (by client
> scripts). Browser validation is faster and you reduce the server load.

In alle gevallen *moet* de server (nogmaals) valideren.
(Gebruikt de client de scripts?)
Soms kan een client wel een beetje testen (tel-nr 10 cyfers)
maar een telefoonboek past niet in het scrippie. ("whenever possible")

Een dat "reduce the server load" valt reuze mee.
Als de gebruikers echt zoveel fouten maken dat de load belangrijk
wordt, dan is er iets mis met de UI.

>> Echter, javascript lijkt me (en niet alleen om de reden die Erik geeft)
>> niet erg geschikt...

> En waarom dan niet als ik vragen mag?

In mijn toepassing, namelijk ervoor zorgen dat mensen geen Html kunnen
opsturen via het formulier, is dat 'totaal nutteloos' in de zin van:
als ze javascript niet hebben aanstaan moet er toch nog gecontroleerd
worden.

Dus hoe dan ook: ik moet op de server zowiezo de controle uitvoeren, en
dan lijkt me het extra javascriptje alleen maar 'nutteloos'.

--
Groeten,
StriKe

http://www.internetfreakz.be

> Al gekeken naar de RegularExpressionValidator control? Zie
> http://samples.gotdotnet.com/quickst...alidation.aspx
>
> Gr. Fred

Hallo,

Had ik nog niet meteen aan gedacht maar bestaat er dan een reguliere
expressie om aan te geven dat er geen html in het formulier gebruikt
mag worden? Reguliere expressies worden toch (in hoofdzaak) gebruikt om
patronen te definiëren van zaken die juist wel mogen/moeten ingegeven
worden?

--
Groeten,
StriKe

http://www.internetfreakz.be