c# - Viewstate 中的敏感数据？

Question

我需要在每个 session 中跨几个页面(通过 https 运行)存储敏感数据。

我不能使用 session 对象，主要原因是 session 存储被设计为备份存储(主要是进行服务调用和加载 session )。如果 session 已重新启动，或者换句话说， session 中的 key 不存在，则创建服务并重新填充 session 。

因此，在用户键入敏感数据的情况下，我需要跨页面转发此数据，我们目前没有持久存储，因此剩下的选项是将这些敏感数据存储在 Viewstate 中。

1) 我应该加密数据然后存储在 Viewstate 中吗(虽然不推荐 - sec & perf. implications)或者2) 我应该将数据存储在可序列化的类中并将其存储在 Viewstate 中吗？ (由于性能影响，不再推荐)

有什么意见吗？

Answer 1

I need to store sensitive data across few pages (run over https) per session.

ViewState 在页面级别设置和维护。它不能跨不同的页面请求携带，只能是当前页面的回发。假设您的意思是您必须“跨几页”携带数据而不是回发。

您可能会将您的敏感数据存储在 cookie 中，但这会带来一些安全风险。

您还可以将敏感数据存储在服务器端数据存储(xml 文件、数据库等)中，并将数据的 key 存储在客户端 cookie 中。稍微安全一些。