aspnet:MaxJsonDeserializerMembers vs maxRequestLength

时间:2015-08-06 20:28:22

标签: c# asp.net json asp.net-mvc json-deserialization

我遇到的错误如 JSON请求太大而无法反序列化。

对stackoverflow的快速搜索告诉您应该将appSetting aspnet:MaxJsonDeserializerMembers 设置为更高以解决问题。但是,appSettings上的msdn文档说

  Caution
  Setting this attribute to too large a number can pose a security risk.

我希望您不要将此值设置为更高的数字,以防止任何人提交可能影响您系统的大型有效负载。但是,鉴于我已经将 maxRequestLength 的值设置为较大的数字,更改 aspnet:MaxJsonDeserializerMembers 值是否会产生任何其他安全隐患?

我没有看到1001个小型json成员如何构成一个大型json对象的安全威胁。

1 个答案:

答案 0 :(得分:5)

ASP.NET应用程序拒绝具有超过1000个这些元素的请求。

https://support.microsoft.com/en-us/kb/2661403

安全公告MS11-100解决的Microsoft安全更新将ASP.NET在请求中接受的表单密钥,文件和JSON成员的默认最大数量更改为1,000。此更改旨在解决Microsoft安全公告MS11-100 documents.

中的拒绝服务漏洞