asp.net-mvc – 由于已知在Cross Site Scripting攻击中使用的字符,禁止访问

谁能告诉我以下HTTP错误消息来自哪里：

由于已知在Cross Site Scripting攻击中使用的字符存在,因此禁止访问.此网站不允许包含嵌入式HTML标记的Url.

我们使用动态生成的网址,在这种特定情况下,网址包含字符’<'或'>‘.我们对生成的URL进行URL编码(所以’<'appeary而不是'<'),但它没有帮助. 我们的设置是ASP.NET MVC / IIS 7.5 / IE8. 这很奇怪,但看起来错误只出现在某些机器上.因此可能是IE互联网区域设置正在发挥作用.

解决方法

您可能正在使用第三方插件,如SiteMinder,它试图通过拒绝其中编码HTML的网址来“保护”您的网站免受XSS攻击.

如果错误仅出现在某些计算机上而非其他计算机上,请检查这些计算机上安装的插件.删除它们,直到找到罪魁祸首(然后重新安装其他人).尝试配置该插件以允许URL.

想想你是否真的需要插件.如果某些服务器拥有它们而其他服务器没有它们,那么没有它们可能会更好.