c# - ASP.Net 网站中的 ViewStateEncryption 是否必须使用 EnableViewStateMAC=true？

Question

我目前正在解决 ASP.net 网站应用程序中的一些安全问题。

其中一个问题是 ViewState未加密。

所以我在 StackOverFlow 和其他地方检查了如何加密 viewState，我使用 <pages viewStateEncryptionMode="Always" /> 做到了这一点并像这样添加 3DES 机器 key <machineKey validation="3DES" />在 Web.config 中。

我想知道 "EnableViewStateMAC=true"也是强制性必要的吗？因为我在网上找到的一些建议解决方案中提到了这一点。但是，在我的检查中，我发现即使没有这个加密也能正常工作。

[注意:我必须在应用程序级别 (Web.config) 进行这些更改，因为对单个页面进行更改不是此应用程序的实际解决方案。]

Answer 1

永远不要将 EnableViewStateMac 设置为 false，即使启用了加密。 MAC保证客户端不能恶意篡改ViewState的内容。 (加密本身不足以保证这一点；MAC 是必需的。)

EnableViewStateMac 属性将在产品的 future 版本中删除，因为没有正当理由将其设置为“false”。