Каковы возможные причины «Потенциально опасного Request.RawUrl»?

Question

В приложении веб-форм asp.net иногда появляется сообщение об ошибке «Потенциально опасный Request.RawUrl», но я не могу найти его источник.

Каковы возможные причины этого исключения?

---

Некоторые подробности из нашего дела:

Event message: A validation error has occurred

Exception type: System.Web.HttpRequestValidationException

Exception message: A potentially dangerous Request.RawUrl value was 
detected from the client (="..._Combin%20%20%20%20%20%2...").

Request URL: https://somesite/somepage.aspx
?_TSM_HiddenField_=ctl00_sm1_HiddenField
&_TSM_Combin%20</div>%20%20%20%20%20%20%20%20<div%20id=

Stack trace:    at System.Web.HttpRequest.ValidateString(String s, String valueName, String collectionName)
   at System.Web.HttpRequest.get_RawUrl()
   at System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
   at System.Web.UI.Page.ProcessRequest(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
   at System.Web.UI.Page.ProcessRequest()
   at System.Web.UI.Page.ProcessRequestWithNoAssert(HttpContext context)
   at System.Web.UI.Page.ProcessRequest(HttpContext context)
   at ASP.somepage_aspx.ProcessRequest(HttpContext context)
   at System.Web.HttpApplication.CallHandlerExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute()
   at System.Web.HttpApplication.ExecuteStep(IExecutionStep step, Boolean& completedSynchronously)

Я распознаю часть с TSM_HiddenField в html сгенерированной страницы:

<script src="/somepage.aspx?_TSM_HiddenField_=ctl00_sm1_HiddenField&_TSM_CombinedScripts_=
%3b%3bAjaxControlToolkit%2c+Version%3d3.5.11119.20050%2c+Culture%3dneutral%2c
+PublicKeyToken%3d28f01b0e84b6d53e%3ada-DK%3a8e147239-dd05-47b0-8fb3-f743a139f982
%3ae2e86ef9%3a1df13a87%3a8ccd9c1b%3ac4c00916%3a9ea3f0e2%3a9e8e87e9
%3a4c9865be%3aba594826%3ac76f1358" type="text/javascript"></script> 

... так что, похоже, в этом случае оно связано с AjaxControlToolkit, но как может произойти это исключение?

(Это происходит, когда пользователь вошел в систему, так что я сомневаюсь, что это какая-то попытка сканирования или взлома ...)

Answer 1

Похоже, у вас есть HTML-разметки в отправленных полях формы, может быть это:

&_TSM_Combin%20</div>%20%20%20%20%20%20%20%20<div%20id=

Виновник <div>.

Answer 2

I думаю это связано с проверкой запроса ASP.NET: http://www.asp.net/learn/whitepapers/request-validation/

Выдает исключение, если e. г. HTML-теги отправляются с запросом.