如何安全地将ID从View传递至Controller且防止用户篡改？

TempData并不是防篡改传递ID的最优方案，它的设计初衷是跨请求临时保存数据（比如重定向后传递信息），但在防篡改和稳定性上存在明显局限：

TempData的局限性 #

• 存储机制问题：默认在ASP.NET Core中，TempData要么存在加密的Cookie里（客户端存储），要么存在Session中（服务器端存储）。Cookie存储的话，虽然加密，但攻击者可能获取加密后的内容进行重放攻击；Session存储则依赖会话有效性，过期或多标签页操作时容易丢失数据。
• 生命周期限制：TempData默认读取一次后就会被标记为删除，除非手动调用Keep()或Peek()，这会导致重复提交或页面刷新时数据丢失，不符合常规业务场景的需求。

更优的防篡改方案 #

1. 数字签名+隐藏字段（推荐用于非敏感ID） #

核心思路是给ID附加一个服务器端生成的数字签名，提交时Controller验证签名是否匹配，一旦ID被篡改，签名就会失效。

View端代码示例：

@{
    var targetId = 123; // 要传递的ID
    var secretKey = Configuration["SignatureKey"]; // 从配置文件读取密钥，绝不要硬编码
    using var hmac = new System.Security.Cryptography.HMACSHA256(System.Text.Encoding.UTF8.GetBytes(secretKey));
    var signature = Convert.ToBase64String(hmac.ComputeHash(System.Text.Encoding.UTF8.GetBytes(targetId.ToString())));
}

<form method="post" asp-action="ProcessId">
    <input type="hidden" name="id" value="@targetId" />
    <input type="hidden" name="signature" value="@signature" />
    <button type="submit">提交</button>
</form>

Controller端验证代码：

[HttpPost]
public IActionResult ProcessId(int id, string signature)
{
    var secretKey = Configuration["SignatureKey"];
    using var hmac = new System.Security.Cryptography.HMACSHA256(System.Text.Encoding.UTF8.GetBytes(secretKey));
    var expectedSignature = Convert.ToBase64String(hmac.ComputeHash(System.Text.Encoding.UTF8.GetBytes(id.ToString())));

    if (!string.Equals(signature, expectedSignature, StringComparison.Ordinal))
    {
        return BadRequest("ID已被篡改，操作无效");
    }

    // 后续业务逻辑处理
    return Ok();
}

2. 服务器端关联存储（推荐用于敏感ID） #

如果ID涉及敏感数据（比如用户隐私、权限相关），最好不要在客户端传递任何ID相关信息。可以在用户登录或进入操作流程时，将用户有权限操作的ID存入服务器端的Session或数据库，提交时Controller仅根据用户身份去获取对应的ID。

示例流程：

• 用户进入编辑页面时，将可编辑的ID存入HttpContext.Session：HttpContext.Session.SetInt32("EditableId", targetId);
• 提交表单时，Controller从Session中读取ID：var id = HttpContext.Session.GetInt32("EditableId");
• 验证用户权限后再进行业务处理，完全避免客户端传递ID的风险。

总结 #

• TempData仅适合临时跨请求传递非敏感数据，不适合作为防篡改传递ID的方案。
• 非敏感ID优先使用数字签名+隐藏字段，简单高效且能有效防篡改。
• 敏感ID建议采用服务器端关联存储，彻底杜绝客户端篡改的可能。

内容的提问来源于stack exchange，提问作者Stelios Pantelopoulos