是否CommandArgument（與ASP.NET轉發器使用）需要驗證？

Question

可以通過RepeaterCommandEventArgs供給ItemCommand事件CommandArgument客戶端可以僞造？

代碼庫中我的工作，這適用刪除條目的ID - 這可能會或可能不屬於登錄的用戶。我想知道在執行刪除操作之前這個值是否需要驗證。

Answer 1

的CommandArgument未在HTML中發現或調回作爲純文本作爲輸入值是，但它是視圖狀態（其被存儲在隱藏字段）的一部分。如果你沒有加密ViewState，或者如果有人可以解密它，它可以被操縱。

見其中一個鏈接以獲得更多信息有關強制的ViewState的加密：

• http://msdn.microsoft.com/en-us/library/aa479501.aspx（.NET2）
• http://msdn.microsoft.com/en-us/library/bb386448%28v=vs.100%29.aspx#SecuringViewState（.NET4）