是否可以使Page.IsPostBack独立于ASP.net而变为真？

如果正在检查用户的角色以确定他们是否可以访问页面,那么将此检查仅安装在if(！Page.IsPostBack){…}中是否安全？是否有可能客户端独立于ASP.net导致Page.IsPostBack == true;也就是说,客户端POST到页面并设置正确的表单字段？如果可能,那么我认为最好的做法是检查每个页面加载的安全性,而不仅仅是在Page.IsPostBack == false时.

解决方法

容易.它甚至不必通过HTTP帖子.

IsPostBack检查ViewState和Event * hidden字段.如果您在查询字符串上提供这些字段,那么IsPostBack将实际返回true,因此,例如,尝试使用该jerry-rigged查询字符串加载图像的客户端页面将导致后面的代码认为它是回发.