ASP.NET WebForms 可以在客户端操作控件值以用于回发

Question

对不起标题，不知道最简单的说法。

我正在将 ASP.NET vb.net 与 Web 表单一起使用。我在页面上有一个下拉列表控件。 目前当所选的下拉目更改时，它会在按钮上回发，然后单击“选择”值

“

我想知道是否有可能（通过黑客等）操纵下拉列表的值或在网络请求中发送更改后的值，以便它们可以在下拉列表定义的选项服务器端之外。

例如

Private Sub testbutton_Click(sender As Object, e As EventArgs) Handles testbutton.Click
   Dim test As String = testdropDown.SelectedItem.Value
   testlabel.text = test
End Sub

如果用户在定义的值之外更改了选定的值，是否可以用诸如 xss 之类的内容填充标签。

或者，如果我将该值放入 SQL 查询中，并且只想要 1-10 的选项，他们是否可以更改下拉值以输入 25 并将其成功传递到查询中？

Answer 1

是的，这是可能的，但 ASP.NET 有构建机制来避免它 http://msdn.microsoft.com/en-us/library/hh882339(v=vs.110).aspx 。即使在客户端更改了值并且它与视图状态不匹配，它也会抛出异常。如果您不更改任何默认设置，我认为您是安全的。无法使用客户端逻辑更改下拉列表的值，由于 EnableViewStateMac 属性，它将在 .net 中引发损坏视图状态的异常。

         int val;
         if(int.TryParse(Request.QueryString["val"]),val){
              //now check the range or custom business logic
              if(val > A1 || val < A2)
                   throw new Applicationexception("Out of range");
              //process here

         }else{
            throw new Applicationexception("Some issue");
         }