禁用ASP.NET EventValidation

Question

我們已經厭倦了在我們的網絡應用程序中獲得有關“無效回發或回調參數”的例外情況。 什么情況會導致此錯誤？

在與用戶交談之后，我們確定一個可能的原因是當他們點擊導致回發的內容時，然后在初始回發完成之前單擊其他內容。

禁用事件驗證有什么危害？ 為了它的價值，我們安裝了SecureIIS以提高安全性。

更新 ：在某些地方，我們使用Javascript來修改某些控件值，例如下拉列表選項（我們這樣做是為了提供更好的用戶體驗 - 更少的回發）。 這可能導致錯誤。 我們對所有用戶輸入都進行了嚴格的編輯，因此我們將繼續禁用EventValidation。 謝謝！

Answer 1

事件驗證驗證值是否未被手動篡改，例如超出所涉及控件允許的范圍。 例如，如果您有一個包含三個選項1,2或3的下拉列表...如果用戶（或惡意中間人）將值更改為4，則驗證將失敗。

只要您在每個處理程序中進行自己的檢查以確保傳入的值有效，並且您的代碼的結構使得意外輸入不會導致任何事情發生（最安全），您可以在關閉驗證時使用。

Answer 2

FWIW，我已經安裝了SecureIIS多年，並且沒有遇到任何這些問題。