“Have You Had Enough Of Mine”

La mayoría de las veces tenemos que almacenar información entre peticiones de página. Como siempre, tenemos muchas maneras de hacer esto. La regla general es que si lo que precisamos es seguridad, administramos el estado del lado del servidor. Si lo que precisamos es rendimiento utilizamos administración de estado del lado del cliente.
Al utilizar administración de estado del lado del cliente es recomendable no almacenar información sensible. El método más común para almacenar información del lado del cliente es utilizar View State. ASP.NET utiliza View State para registrar los valores en los controles.
Generalmente las personas (incluso yo lo creía) creen que el View State está encriptado. Esto no es así. El View State es información serializada que después para que pueda ser almacenada en el HTML se convierte a una cadena Base-64.

Demostración:

        protected void Page_Load(object sender, EventArgs e)
        {
            ViewState.Add("NicolasFerreira", "http://www.nicolasferreira.com/");
        }

Salida HTML:

    <input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="/wEPDwUJNzgzNDMwNTMzDxYCHg9OaWNvbGFzRmVycmVpcmEFH2h0dHA6Ly93d3cubmljb2xhc2ZlcnJlaXJhLmNvbS9kZJUtdPnrrPUmYC4xJVygWF1HWkH4" />

Si ponemos el siguiente código:

        protected void Page_Load(object sender, EventArgs e)
        {
            LosFormatter lLosFormatter = new LosFormatter();
            Pair lPair = (Pair)lLosFormatter.Deserialize
                ("/wEPDwUJNzgzNDMwNTMzDxYCHg9OaWNvbGFzRmVycmVpcmEFH2h0dHA6Ly93d3cubmljb2xhc2ZlcnJlaXJhLmNvbS9kZJUtdPnrrPUmYC4xJVygWF1HWkH4");
            ArrayList lArrayList = (ArrayList)((Pair)((Pair)lPair.First).Second).First;
            System.Web.UI.IndexedString lIndexedString = (System.Web.UI.IndexedString)lArrayList[0];
            string lstring = (string)lArrayList[1];
        }

Y analizamos el valor de la propiedad “lIndexedString.Value” y el valor de la variable “lstring” vamos a ver lo siguiente:

lIndexedString.Value = “NicolasFerreira”
lstring = “http://www.nicolasferreira.com/”

Lo que demuestra esto es que por defecto el View State no viene encriptado.
Aunque el código no se encuentre claro esto es simplemente para demostrar que el View State no viene encriptado por defecto.
Vamos a lo que nos interesa… encriptar el View State estableciendo el ajuste en el archivo Web.config (también lo podemos hacer en la directiva @Page para cada página):

<configuration>
  <system.web>
    <pages viewStateEncryptionMode="Always"/>
  </system.web>
</configuration>

Si repetimos el primer ejemplo:

        protected void Page_Load(object sender, EventArgs e)
        {
            ViewState.Add("NicolasFerreira", "http://www.nicolasferreira.com/");
        }

Vamos a obtener algo como esto:

<input type="hidden" name="__VIEWSTATE" id="Hidden1" value="NjodhOfUMQ+Kgz07a092dExYHtdZWVkyuNupSqW0xvO/4lwpBtc3LbYKkBKD21GbNaxzWvLvuGfO9zSzRg7HjmL3JZlHeQVjvvHNAxKAfp0=" />

Es obvio que “value” no se ve como una cadena codificada en Base-64, por consiguiente, View State está encriptado.
Si intentamos repetir el segundo ejemplo pasando esta cadena al método Deserialize de LosFormatter vamos a obtener una excepción:

System.ArgumentException
{“Los datos serializados no son válidos.”}

A menudo tenemos que pasar información entre formularios. Esto lo podemos hacer de diferentes maneras. La buena (para mi) implica utilizar algo denominado “Cross-page Posting” (también depende de la situación, pero en general funciona). La mala (también para mí) implica utilizar técnicas como por ejemplo guardar la información en sesión. Cross-page Posting se da cuando un control está configurado para realizar PostBack a una página Web diferente. Para aclarar todo esto vamos a empezar con un ejemplo en donde tenemos la página “padre” y la página “hija”.
En el code-behind de la página padre exponemos propiedades públicas para que puedan ser accedidas por la página hija.

        public string Contraseña
        {
            get
            {
                return this.TxtContraseña.Text;
            }
        }
        public string NombreUsuario
        {
            get
            {
                return this.TxtNombreUsuario.Text;
            }
        }

Establecemos la propiedad PostBackUrl del botón que va a ser el encargado de hacer el PostBack a la página hija con la ruta virtual de la página hija, quedando el código de marcas de la siguiente manera:

        <asp:Label ID="LblNombreUsuario" runat="server" Text="Nombre De Usuario:"></asp:Label>
        <asp:TextBox ID="TxtNombreUsuario" runat="server"></asp:TextBox>
        <asp:Label ID="LblContraseña" runat="server" Text="Contraseña:"></asp:Label>
        <asp:TextBox ID="TxtContraseña" runat="server"></asp:TextBox>
        <asp:Button ID="BtnAceptar" runat="server" PostBackUrl="~/Child.aspx" Text="Aceptar" />

Ahora en el código de marcas de la página hija debajo de la directiva de página ponemos lo siguiente:

<%@ PreviousPageType VirtualPath="~/Parent.aspx" %>

Compilamos la aplicación para que IntelliSense agarre desde el code-behind de la página hija lo siguiente:

    protected void Page_Load(object sender, EventArgs e)
    {
        if (PreviousPage != null)
        {
            this.LblContraseñaValor.Text =
                Server.HtmlEncode(this.PreviousPage.Contraseña);
            this.LblNombreUsuarioValor.Text =
                Server.HtmlEncode(this.PreviousPage.NombreUsuario);
        }
    }

Al haber agregado en el código de marcas de la página hija la directiva PreviousPageType y establecido VirtualPath a “~/Parent.aspx”, desde el code-behind de la página hija la propiedad PreviousPage toma el tipo de la página padre. El resultado es que tenemos un Cross-page Posting de tipo seguro.