0

Estaba intentando guardar en una base de datos un código de inserción de un video de YouTube y al momento de hacer click en el botón guardar del formulario me dió el siguiente error:

Se detectó un posible valor Request.Form peligroso en el cliente (ctl00$noticia$txtUrlVideoAlta=...

Por lo que leí una de las soluciones es setear ValidateRequest = "false" pero quería saber si esa es recomendable o no o si lo mejor en este caso es aplicar "encode".

Lo que intento hacer es lo siguiente:

protected void btnAceptarAltaAlbum_Click(object sender, EventArgs e) { if (Page.IsValid) { Usuario user = (Usuario)Session["Usuario"]; Album objA = new Album() {
nombre = txtNombreAlbum.Text, duracion = Convert.ToInt32(txtDuracion.Text), anio = Convert.ToInt32(txtAnioAlta.Text), objB = new Banda() { id = Convert.ToInt32(ddlBandaAlta.SelectedValue), nombre = Convert.ToString(ddlBandaAlta.DataTextField) }, fotoAlbum = lblPath.Text, urlVideo = Uri.EscapeUriString(txtUrlVideoAlta.Text), }; var res = new gestoraAlbum().agregarAlbum(objA); if (res.estaCorrecto)

Corté el código en el if porque sigue pero lo que quiero hacer es poder poner el < iframe > de un video de YouTube en un textbox para guardarlo en la base de datos de SQL Server

Supongo que es esta la línea que me está dando el error urlVideo = Uri.EscapeUriString(txtUrlVideoAlta.Text)

Gracias de antemano.

1 respuesta 1

3

Yo intentaría no inhabilitar la validación en la solicitud, si puedes, utiliza Encode.

ValidateRequest previene los ataques XSS, inhabilitarlo supone quitar esa primera línea de defensa.

.......

En cuanto a tu ejemplo, el problema creo que es anterior a la línea que señalas (Uri.EscapeUriString).

Estás recogiendo el contenido del TextBox en un manejador de eventos, es decir, en la parte de servidor. Tu problema es que la excepción de la validación ocurre antes siquiera de entrar por el evento, es decir, ASP.Net no llega a llamar al manejador de evento si no que lanza una excepción anterior.

¿Has probado a recoger en el textBox y grabar en la base de datos únicamente la URL del vídeo de YouTube y no toda la cadena < iframe...? Una vez tengas la URL puedes componer el iframe, lo único que te faltaría es el ancho y el alto que o bien lo recoges desde la página o bien lo puedes crear con valores fijos.

La otra opción si quieres recoger todo el script en el textBox es, desde JavaScript de cliente, antes de enviar el contenido al servidor sustituir la cadena "extraña" (en este caso < iframe >) por otra (por ejemplo, #iframe#).

3
  • Gracias, haré eso, supuse poner false en ValidateRequest podría traer algún "problema" saludos. Commented el 3 ene. 2017 a las 15:31
  • Hola, sí, ahora en vez de guardar el <iframe> entero solo guardo la URL del video pero tengo problemas al querer concatenarlo, 1° - No sé como se tendría que hacer así que probé varias cosas. 2° - Intenté concatenando el atributo a la src = 3° - Le puse un id al <iFrame> y puse iFrameVideo.Src = objA.urlVideo; pero tampoco funcionó. Commented el 8 ene. 2017 a las 15:51
  • 1
    O bien marcas la etiqueta iFrame como runat=server que debería servir o bien utilizas un control de servidor como asp:Literal. En este caso, simplemente inserta en el método Text toda la cadena del IFrame de YouTube concatenando la URL (control.Text = "<iframe src = " + url + "...) Commented el 9 ene. 2017 a las 9:12

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.