登录子域后被urlscan拒绝

Question

我在asp.net 2.0网站上看到一个奇怪的问题。如果我登录到子域然后进入主域，则单击主页上的任何链接会导致网络日志中显示的链接URL以波形符号开头的网址拒绝错误。这可能是什么问题？

Answer 1

这被证明是一个UrlScan问题，在最近更新主机后，开始拒绝任何带有特殊字符的查询。它仅在存在cookie时发生，因为某些cookie中的值具有特殊字符。

一旦找到原因，我就想在UrlScan中打开允许特殊字符的特殊标志。但我无法在web.config中成功完成。必须在IIS级别为每个网站完成。我正在辩论是否出于安全原因这样做。新的UrlScan功能的想法有助于阻止攻击。

与此同时，我添加了一些初始化代码来删除旧的cookie并使用加密值重新创建它们，以便不会遇到特殊字符。但即使初始化代码在某些情况下也无法运行，所以我还必须在最终的错误处理页面中添加它以进行自动恢复。