Есть ли способ предотвратить передачу параметров URL-адреса страницы в HTML.Action в ASP.NET MVC 5? ⇐ C#

[Anonymous]

В документации к Action (HtmlHelper, String, String, Object) (или версии RouteValueDictionary) указано, что «Параметр RouteValues ​​объединяется с исходными значениями маршрута и переопределяет их».
https://learn.microsoft.com/en-us/dotne ... b-mvc-html -childactionextensions-action(system-web-mvc-htmlhelper-system-string-system-string-system-object)
Однако я понял, что это не очень хорошо сочетается с необязательными параметры - скажем, у вас есть что-то вроде

Код: Выделить всё

[ChildActionOnly]
public PartialViewResult BigBanner(string bannername, string title = "")

где заголовок — необязательный параметр метода контроллера, который генерирует сложный баннерный блок. Если заголовок предоставляется вызывающей страницей, то все в порядке. Если он опущен, то предполагается, что дочернее действие не будет отображать заголовок. Однако если кто-то создаст URL-адрес с ?title=SomethingBad, он будет отображен на странице. В лучшем случае это позволяет отображать произвольный контент, в худшем — это становится основой для XSS-атаки в зависимости от того, как использовались параметры.
Пояснение/Редактирование Суть здесь заключается в том, что ЛЮБОЙ необязательный параметр, который не используется в вызове Html.Action, МОЖЕТ БЫТЬ УСТАНОВЛЕН ПО URL-адресу, что изменяет желаемое поведение страницы. Таким образом, существует бесконечное множество возможных вариантов использования этого в зависимости от того, как используются эти необязательные параметры.
Есть ли способ использовать Html.Action без слияния объекта/ Routevaluedictionary с параметрами уровня страницы, чтобы предотвратить такую ​​настройку параметров - это кажется довольно небезопасным по умолчанию.

Подробнее здесь: https://stackoverflow.com/questions/787 ... ion-in-asp