ASP.NET ViewState 初探 (3) 轉自msdn
2024-07-10 12:58:36
供稿：網友
本文來源于網頁設計愛好者web開發社區http://www.html.org.cn收集整理，歡迎訪問。選擇會話狀態還是 viewstate？
在某些情況下，將狀態值保存在 viewstate 中并不是最佳選擇，最常用的替代方法就是會話狀態，它通常更適用于：
大量的數據。由于 viewstate 增加了發送到瀏覽器的頁面的大小（html 有效負載），同時也增加了回傳的窗體的大小，因此不適合存儲大量數據。
未在 ui 中顯示的安全數據。盡管 viewstate 數據已被編碼，并且可以選擇對其進行加密，但始終不將數據發送到客戶端才是最安全的。因此，會話是更安全的選擇。（由于數據庫需要額外的憑據進行驗證，因此將數據存儲在數據庫中會更安全。可以添加 ssl 以獲得更安全的鏈接。）但是，如果在 ui 中已經顯示了該專用數據，那么您應該已經確認了鏈接的安全性。在這種情況下，將同樣的值放入 viewstate 不會降低安全性。
尚未序列化到 viewstate 中的對象，如 dataset。viewstate 序列化程序只為一小部分常用的對象類型進行了優化，如下所示。其他可序列化的類型或許可以保留在 viewstate 中，但速度會變慢，并會生成一個非常大的 viewstate。
會話狀態 viewstate
是否使用服務器資源？ 是 否
是否超時？ 是，20 分鐘后（默認） 否
是否存儲所有 .net 類型？ 是 否，僅支持：string、integer、boolean、array、arraylist、hashtable 和自定義 typeconverter
是否增加“html 有效負載”？ 否 是
使用 viewstate 獲得最佳性能
使用 viewstate 時，每個對象都必須先序列化到 viewstate 中，然后再通過回傳進行反序列化，因此使用 viewstate 并非是沒有代價的。但是，如果遵循某些簡單的原則對 viewstate 的成本加以控制，則通常不會產生明顯的性能影響。
在不需要時禁用 viewstate。下面的“減少使用 viewstate”一節將詳細介紹這一問題。
使用優化過的 viewstate 序列化程序。上面列出的類型具有專門的序列化程序，這些程序運行速度很快，并已經過優化，可以生成很小的 viewstate。如果要序列化一個未在上面列出的類型，可以創建一個自定義 typeconverter 來顯著提高它的性能。
盡量減少使用對象，如果可能，盡量減少放入 viewstate 中的對象的數目。例如，不要使用二維字符串數組（名稱/值，其對象的數目與數組的長度一樣多），而應使用兩個字符串數組（只有兩個對象）。但是，在將兩個已知類型存儲在 viewstate 中之前，在這兩者之間轉換不會獲得任何性能提高，因為這樣做實際上相當于付出了兩次轉換的代價。
減少使用 viewstate
默認情況下 viewstate 將被啟用，并且是由每個控件（而非頁面開發人員）來決定存儲在 viewstate 中的內容。有時，這一信息對應用程序并沒有什么用處。盡管也沒什么害處，但卻會明顯增加發送到瀏覽器的頁面的大小。因此如果不需要使用 viewstate，最好還是將它關閉，特別是當 viewstate 很大的時候。
可以基于每個控件、每個頁面或每個應用程序來關閉 viewstate。在以下情況中將不再需要 viewstate：
頁面 控件
頁面不回傳給自身。
處理的不是控件的事件。
控件沒有動態的或數據綁定的屬性值（或對于每一個請求它們都設置在代碼中）。
datagrid 控件是 viewstate 的一個重量級用戶。默認情況下，在網格中顯示的所有數據也都存儲在 viewstate 中，當需要一個復雜的操作（如復雜的搜索）來獲取數據時，這是非常有用的。但是，datagrid 的這種行為有時也使得 viewstate 成為累贅。
例如，這里有一個簡單的頁面就屬于上述情況。因為頁面不回傳給自身，所以它并不需要 viewstate。
圖 3：帶有 datagrid1 的簡單頁面 lessviewstate.aspx
<%@ import namespace="system.data" %>
<html>
<body>
<form runat="server">
<asp:datagrid runat="server" />
</form>
</body>
</html>
<script runat="server">
private sub page_load(sender as object, e as eventargs)
dim ds as new dataset()
ds.readxml(server.mappath("testdata.xml"))
datagrid1.datasource = ds
datagrid1.databind()
end sub
</script>
啟用 viewstate 時，這個小網格會給該頁面增加 3000 多字節的 html 有效負載！使用 asp.net tracing（英文）或查看發送到瀏覽器的頁面的源代碼（如以下代碼所示），可以清楚地看到這一點。
<html>
<head>
<title>減少頁面的“html 有效負載”</title>
</head>
<body>
<form name="_ctl0" method="post" action="lessviewstate.aspx" id="_ctl0">
<input type="hidden" name="__viewstate"
value="ddwxntgzotu2oda7ddw7bdxppde+oz47bdx0pdtspgk8mt47pjtsphq8qda8cdxw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_u56 ?cdxspfrlehq7pjtspfdhc2hpbmd0b247pj47pjs7pjt0pha8cdxspfrlehq7pjtsperdoz
4+oz47oz47ddxwpha8bdxuzxh0oz47bdxvu0e7pj47pjs7pjs+pjt0pdtspgk8md47atwxp
jtppdi+o2k8mz47atw0pjs+o2w8ddxwpha8bdxuzxh0oz47bdwxmzg5oz4+oz47oz47ddxw
pha8bdxuzxh0oz47bdxbbgdvzgf0ysbjbmzvc3lzdgvtczs+pjs+ozs+o3q8cdxwpgw8vgv
4dds+o2w8qmvya2vszxk7pj47pjs7pjt0pha8cdxspfrlehq7pjtspenboz4+oz47oz47dd
xwpha8bdxuzxh0oz47bdxvu0e7pj47pjs7pjs+pjt0pdtspgk8md47atwxpjtppdi+o2k8m
z47atw0pjs+o2w8ddxwpha8bdxuzxh0oz47bdwxnjiyoz4+oz47oz47ddxwpha8bdxuzxh0
oz47bdxgaxzliexha2vzifb1ymxpc2hpbmc7pj47pjs7pjt0pha8cdxspfrlehq7pjtspen
oawnhz287pj47pjs7pjt0pha8cdxspfrlehq7pjtspelmoz4+oz47oz47ddxwpha8bdxuzx
h0oz47bdxvu0e7pj47pjs7pjs+pjt0pdtspgk8md47atwxpjtppdi+o2k8mz47atw0pjs+o
2w8ddxwpha8bdxuzxh0oz47bdwxnzu2oz4+oz47oz47ddxwpha8bdxuzxh0oz47bdxsyw1v
bmeguhvibglzagvyczs+pjs+ozs+o3q8cdxwpgw8vgv4dds+o2w8rgfsbgfzoz4+oz47oz4
7ddxwpha8bdxuzxh0oz47bdxuwds+pjs+ozs+o3q8cdxwpgw8vgv4dds+o2w8vvnboz4+oz
47oz47pj47ddw7bdxppda+o2k8mt47atwypjtppdm+o2k8nd47pjtsphq8cdxwpgw8vgv4d
ds+o2w8otkwmts+pjs+ozs+o3q8cdxwpgw8vgv4dds+o2w8r0dhjkc7pj47pjs7pjt0pha8
cdxspfrlehq7pjtspe3dvg5jagvuoz4+oz47oz47ddxwpha8bdxuzxh0oz47bdwmbmjzcfw
7oz4+oz47oz47ddxwpha8bdxuzxh0oz47bdxhzxjtyw55oz4+oz47oz47pj47ddw7bdxppd
a+o2k8mt47atwypjtppdm+o2k8nd47pjtsphq8cdxwpgw8vgv4dds+o2w8otk1mjs+pjs+o
zs+o3q8cdxwpgw8vgv4dds+o2w8u2nvb3ruzxkgqm9va3m7pj47pjs7pjt0pha8cdxspfrl
ehq7pjtspe5ldybzb3jroz4+oz47oz47ddxwpha8bdxuzxh0oz47bdxowts+pjs+ozs+o3q
8cdxwpgw8vgv4dds+o2w8vvnboz4+oz47oz47pj47ddw7bdxppda+o2k8mt47atwypjtppd
m+o2k8nd47pjtsphq8cdxwpgw8vgv4dds+o2w8otk5ots+pjs+ozs+o3q8cdxwpgw8vgv4d
ds+o2w8thvjzxjuzsbqdwjsaxnoaw5noz4+oz47oz47ddxwpha8bdxuzxh0oz47bdxqyxjp
czs+pjs+ozs+o3q8cdxwpgw8vgv4dds+o2w8jm5ic3bcozs+pjs+ozs+o3q8cdxwpgw8vgv
4dds+o2w8rnjhbmnloz4+oz47oz47pj47pj47pj47pj47pj47pg==" />
看！只是禁用了該網格的 viewstate，同一頁面的有效負載就大大減少了：
<html>
<head>
<title>減少頁面的“html 有效負載”</title>
</head>
<body>
<form name="_ctl0" method="post" action="lessviewstate.aspx" id="_ctl0">
<input type="hidden" name="__viewstate" value="ddwxntgzotu2oda7oz4=" />
下面是 visual basic 和 c# 的完整的 lessviewstate 代碼：
[visual basic]
<%@ import namespace="system.data" %>
<html>
<head>
<title>減少頁面的“html 有效負載”</title>
</head>
<body>
<form runat="server">
<h3>
通過禁用 viewstate 來減少頁面的“html 有效負載”
</h3>
<p>
<asp:datagrid id="datagrid1" runat="server" enableviewstate="false"
borderstyle="none" borderwidth="1px" bordercolor="#cccccc"
backcolor="white" cellpadding="5">
<headerstyle font-bold="true" forecolor="white" backcolor="#006699">
</headerstyle>
</asp:datagrid>
</p>
</form>
</body>
</html><script runat="server">
private sub page_load(sender as object, e as eventargs)
dim ds as new dataset()
ds.readxml(server.mappath("testdata.xml"))
datagrid1.datasource = ds
datagrid1.databind()
end sub
</script>
[c#]
<%@ page language="c#" %>
<%@ import namespace="system.data" %>
<html>
<head>
<title>減少頁面的“html 有效負載”</title>
</head>
<body>
<form runat="server">
<h3>
通過禁用 viewstate 來減少頁面的“html 有效負載”
</h3>
<p>
<asp:datagrid id="datagrid1" runat="server" enableviewstate="false"
borderstyle="none" borderwidth="1px" bordercolor="#cccccc"
backcolor="white" cellpadding="5">
<headerstyle font-bold="true" forecolor="white" backcolor="#006699">
</headerstyle>
</asp:datagrid>
</p>
</form>
</body>
</html>
<script runat="server">
void page_load(object sender, eventargs e) {
dataset ds = new dataset();
ds.readxml(server.mappath("testdata.xml"));
datagrid1.datasource = ds;
datagrid1.databind();
}
</script>
禁用 viewstate
在上述示例中，我通過將網格的 enableviewstate 屬性設置為 false 禁用了 viewstate。可以針對單個控件、整個頁面或整個應用程序禁用 viewstate，如下所示：
每個控件（在標記上） <asp:datagrid enableviewstate="false" ?/>
每個頁面（在指令中） <%@ page enableviewstate="false" ?%>
每個應用程序（在 web.config 中） <pages enableviewstate="false" ?/>
使 viewstate 更安全
由于 viewstate 沒有被格式化為清晰的文本，某些人有時會認為它被加密了，其實并沒有。相反，viewstate 只是進行了 base64 編碼，以確保值在往返過程中不會發生變化，而并不考慮應用程序使用的響應/請求編碼。
可以向應用程序中添加兩種 viewstate 安全級別：
防篡改
加密
需要注意的是，viewstate 安全性對于處理和呈現 asp.net 頁面所需的時間有直接的影響。簡單地說，安全性越高，速度越慢。因此如果不需要，請不要為 viewstate 添加安全性。
防篡改
盡管散列代碼不能確保 viewstate 字段中實際數據的安全，但它能夠顯著降低有人通過 viewstate 騙過應用程序的可能性，即防止回傳應用程序通常禁止用戶輸入的值。
可以通過設置 enableviewstatemac 屬性來指示 asp.net 向 viewstate 字段中追加一個散列代碼：
<%@page enableviewstatemac=true %>
可以在頁面級別上設置 enableviewstatemac，也可以在應用程序級別上設置。在回傳時，asp.net 將為 viewstate 數據生成一個散列代碼，并將其與存儲在回傳值中的散列代碼進行比較。如果兩處的散列代碼不匹配，該 viewstate 數據將被丟棄，同時控件將恢復為原來的設置。
默認情況下，asp.net 使用 sha1 算法來生成 viewstate 散列代碼。此外，也可以通過在 machine.config 文件中設置 <machinekey> 來選擇 md5 算法，如下所示：
<machinekey validation="md5" />
加密
可以使用加密來保護 viewstate 字段中的實際數據值。首先，必須如上所述設置 enableviewstatmac="true"。然后，將 machinekey validation 類型設置為 3des。這將指示 asp.net 使用 triple des 對稱加密算法來加密 viewstate 值。
<machinekey validation="3des" />
web 領域中的 viewstate 安全性
默認情況下，asp.net 將創建一個隨機的驗證密鑰，并存儲在每個服務器的本地安全授權 (lsa) 中。要驗證在另一臺服務器上創建的 viewstate 字段，兩臺服務器的 validationkey 必須設置為相同的值。如果要通過上述方式之一，對運行于 web 領域配置中的應用程序進行 viewstate 安全設置，則需要為所有服務器提供一個唯一的、共享的驗證密鑰。
驗證密鑰是一個包含 20 到 64 位密碼增強字節的隨機字符串，用 40 到 128 個十六進制字符表示。密鑰越長越安全，因此建議使用 128 個字符的密鑰（如果計算機支持）。例如：
<machinekey validation="sha1" validationkey="
f3690e7a3143c185ab1089616a8b4d81fd55dd7a69eeaa3b32a6ae813eceecd28dea66a
23bee42193729bd48595ebafe2c2e765be77e006330bc3b1392d7c73f" />
system.security.cryptography 名稱空間包括 rngcryptoserviceprovider 類，使用該類可以生成此字符串，如以下 generatecryptokey.aspx 示例所示：
<%@ page language="c#" %>
<%@ import namespace="system.security.cryptography" %>
<html>
<body>
<form runat="server">
<h3>生成隨機加密密鑰</h3>
<p>
<asp:radiobuttonlist id="radiobuttonlist1"
runat="server" repeatdirection="horizontal">
<asp:listitem value="40">40-byte</asp:listitem>
<asp:listitem value="128" selected="true">128-byte</asp:listitem>
</asp:radiobuttonlist>
<asp:button id="button1" runat="server" onclick="generatekey"
text="生成密鑰">
</asp:button></p>
<p>
<asp:textbox id="textbox1" runat="server" textmode="multiline"
rows="10" columns="70" backcolor="#eeeeee" enableviewstate="false">
復制并粘貼生成的結果</asp:textbox></p>
</form>
</body>
</html>
<script runat=server>
void generatekey(object sender, system.eventargs e)
{
int keylength = int32.parse(radiobuttonlist1.selecteditem.value);
// 在此處放入用于初始化頁面的用戶代碼
byte[] buff = new byte[keylength/2];
rngcryptoserviceprovider rng = new rngcryptoserviceprovider();
// 該數組已使用密碼增強的隨機字節進行填充
rng.getbytes(buff);
stringbuilder sb = new stringbuilder(keylength);
int i;
for (i = 0; i < buff.length; i++) {
sb.append(string.format("{0:x2}",buff[i]));
}
// 粘貼到文本框，用戶可從中復制
textbox1.text = sb.tostring();
}
</script>
總結
asp.net viewstate 是一種新的狀態服務，可供開發人員基于每個用戶來跟蹤 ui 狀態。viewstate 沒有什么神秘之處，它只是利用了一個老的 web 編程技巧：在一個隱藏的窗體字段中來回傳遞狀態，并將它直接應用于頁面處理框架中。但效果卻非常好 - 在基于 web 的窗體中只需編寫并維護很少的代碼。
用戶可能并不總是需要它，但我想您在需要它的時候會發現，viewstate 是提供給頁面開發人員的諸多 asp.net 新功能中非常令人滿意的一種功能。
