ASP.Net 控件是否通过视图状态公开 SQL 查询？

Question

作为默认 ASP.Net 控件集一部分的控件是否始终使用 viewstate 或 controlstate？

即，如果我将下面的代码放到一个全新的 Web 表单上，我的 SQL 字符串是否会放置在未加密的控制状态中？

<asp:SqlDataSource ID="mobileData" runat="server" 
        DataSourceMode="DataReader" 
        SelectCommand="SELECT * from ma.bob WHERE Vendor IS NOT NULL" 
/>

我知道如何加密视图状态和控制状态，但对我来说，这个常见用例可能如此不安全，这似乎很疯狂。肯定可以通过修改控制状态来执行 SQL 注入攻击吗？

我认为大多数人都会考虑对敏感应用程序的控制状态进行加密，但实际上，如果我的假设是正确的 - 那么它应该始终完成 - 并且 Visual Studio 应该默认启用它？

我的想法是否正确，还是我的想法有误？

Answer 1

回答你的问题，不。
来自 MSDN

出于安全目的，SelectCommand 属性不存储在视图状态中。因为可以解码view的内容
客户端上的state，存储有关数据库的敏感信息
视图状态中的结构可能会导致信息泄露
漏洞。

Answer 2

此信息永远不会存储在 ViewState 中。

并非所有属性都是像这里的 SelectCommand 一样创建的

public string SomeProperty
        {
            get
            {
                object obj = ViewState["SomeProperty"];
                return (obj == null) ? 0 : (string)obj;
            }
            set
            {
                ViewState["SomeProperty"] = value;
            }
        }

，由 PageParser 在生成的 C#/Vb 类中分配。该类将包含一些类似的行

 mobileData.SelectCommand="SELECT * from ma.bob WHERE Vendor IS NOT NULL"

，并且每次请求页面时都会进行此分配。 ASP .Net 不需要将其保留在 ViewState 中。

但是，如果你做这样的事情，

  <asp:HiddenField runat="server" Value="SELECT * from ma.bob WHERE Vendor IS NOT NULL" />

这将进入 ViewState （我所说的关于解析器的内容在这里也是正确的，但是 setter 在这里实现了 ViewState 机制）