Asp.Net Web API Block 404 页面上的任意文本

在我的应用程序 (Asp.Net web api) 中，如果攻击者在 api url 之后插入任意文本，那么该文本将显示在 404 错误页面中。攻击者可以利用它来诱骗用户点击自定义链接或进行网络钓鱼攻击。

我想阻止任何任意文本出现在这样的错误页面上。这里需要注意的是，我们还没有在应用程序中实现基于 GUID 的错误消息。

为了设置自定义 404 错误页面，在中的 web.config 中添加以下内容：

<customErrors mode="On" redirectMode="ResponseRewrite">
  <error statusCode="404" redirect="~/404.html"/>
</customErrors>

我已设置 mode="On" 以便我们可以在本地查看自定义错误页面。通常，您只想在生产中显示这些，因此将设置 mode="RemoteOnly"

然后在 IIS 中添加自定义错误页面（请注意，这仅适用于 IIS 7+）。在 web.config 中，在中添加以下内容：

<httpErrors errorMode="Custom">
  <remove statusCode="404"/>
  <error statusCode="404" path="/404.html" responseMode="File"/>
</httpErrors>

如果它没有帮助，因为我不知道您的应用程序的架构，您应该寻求路由匹配解决方案：