ASP.NET VIEWSTATE初探[3]

发布: 2010-5-18 11:27 | 作者: 不详 | 来源: 领测测试网采编 | 查看: 144次 | 进入软件测试论坛讨论

　　<%@Page EnableViewStateMAC=true %>

　　可以在页面级别上设置 EnableViewStateMAC，也可以在应用程序级别上设置。在回传时，ASP.NET 将为 ViewState 数据生成一个散列代码，并将其与存储在回传值中的散列代码进行比较。如果两处的散列代码不匹配，该 ViewState 数据将被丢弃，同时控件将恢复为原来的设置。

　　默认情况下，ASP.NET 使用 SHA1 算法来生成 ViewState 散列代码。此外，也可以通过在 machine.config 文件中设置来选择 MD5 算法，如下所示：

　　十、加密

　　可以使用加密来保护 ViewState 字段中的实际数据值。首先，必须如上所述设置 EnableViewStatMAC="true"。然后，将 machineKey validation 类型设置为 3DES。这将指示 ASP.NET 使用 Triple DES 对称加密算法来加密 ViewState 值。

　　十一、Web 领域中的 ViewState 安全性

　　默认情况下，ASP.NET 将创建一个随机的验证密钥，并存储在每个服务器的本地安全授权 (LSA) 中。要验证在另一台服务器上创建的 ViewState 字段，两台服务器的 validationKey 必须设置为相同的值。如果要通过上述方式之一，对运行于 Web 领域配置中的应用程序进行 ViewState 安全设置，则需要为所有服务器提供一个唯一的、共享的验证密钥。

　　验证密钥是一个包含 20 到 64 位密码增强字节的随机字符串，用 40 到 128 个十六进制字符表示。密钥越长越安全，因此建议使用 128 个字符的密钥(如果计算机支持)。

　　十二、总结

　　ASP.NET ViewState 是一种新的状态服务，可供开发人员基于每个用户来跟踪 UI 状态。ViewState 没有什么神秘之处，它只是利用了一个老的 Web 编程技巧：在一个隐藏的窗体字段中来回传递状态，并将它直接应用于页面处理框架中。但效果却非常好 - 在基于 Web 的窗体中只需编写并维护很少的代码。

　　用户可能并不总是需要它，但我想您在需要它的时候会发现，ViewState 是提供给页面开发人员的诸多 ASP.NET 新功能中非常令人满意的一种功能。