ASP.NET 'Validation of viewstate MAC failed' 错误排查求助

问题背景 #

部署在GoDaddy的个人站点，aspx/cs文件位于根目录httpdocs/test子文件夹中。立即点击按钮无错误，但等待60/120秒后点击按钮，每次都会抛出“Validation of viewstate MAC failed”异常，本地测试无此问题，怀疑是Web场或集群的PostBack路由问题。

简化版代码：
default.aspx

<%@ page inherits='visits' codefile='visits.cs'  %>
<!doctype html>
<html>
    <body>
        <form runat='server'>
            <asp:button runat='server' onClick='clickMe' />
        </form>
    </body>
</html>

visits.cs

using System;

partial class visits:System.Web.UI.Page
{
    protected void Page_Load(object o, EventArgs ea)
    {}

    public void clickMe(object o, EventArgs ea)
    {}
}

解决方案 #

• 配置统一的MachineKey（推荐）
  Web场/集群环境中，多台服务器的MachineKey不一致会导致ViewState MAC验证失败，GoDaddy共享主机可能存在请求超时后路由到不同服务器的情况。在站点根目录的Web.config中添加以下配置：

  <system.web>
      <machineKey validationKey="随机生成的安全密钥" decryptionKey="随机生成的安全密钥" validation="SHA1" decryption="AES" />
  </system.web>
  

  可通过安全的密钥生成工具生成唯一的validationKey和decryptionKey，确保所有处理请求的服务器使用相同密钥。

• 临时禁用ViewState MAC验证（仅用于排查）
  在页面指令中添加EnableViewStateMac="false"关闭MAC验证，修改后的default.aspx页面指令如下：

  <%@ page inherits='visits' codefile='visits.cs' EnableViewStateMac="false" %>
  

  注意：此方法会降低页面安全性，仅用于确认问题是否由MAC验证导致，不建议长期使用。

• 调整Session超时设置
  检查Web.config中的Session超时配置，确保时长覆盖用户可能的等待时间：

  <system.web>
      <sessionState timeout="120" /> <!-- 设置为大于120秒的数值 -->
  </system.web>
  

  ASP.NET的ViewState依赖Session上下文，Session超时后可能引发验证异常。

• 不建议使用JavaScript try/catch
  服务器端的“Validation of viewstate MAC failed”异常是在PostBack处理阶段抛出的，JavaScript的try/catch只能捕获客户端错误，无法解决服务器端的验证问题，因此该方案无效。

内容的提问来源于stack exchange，提问作者peteloaf