IIS10环境Selenium测试触发无效回发/回调参数异常问题咨询

IIS版本差异导致该问题的核心原因 #

该行为差异来自IIS 10搭载的.NET Framework运行时的安全校验补丁修复，不属于IIS本身的Web服务逻辑变更：

• IIS 8（Windows Server 2012）配套的默认.NET Framework运行时，存在事件验证逻辑疏漏：对标记了Visible="false"、EnableViewState="false"但实际渲染到前端的服务端控件，二次回发时不会校验该控件的提交值是否与服务端渲染的初始值匹配
• IIS 10（Windows Server 2019）默认集成了该漏洞的修复补丁：所有服务端注册过的表单控件，无论是否可见、是否开启ViewState，二次回发时都会校验提交值的合法性，不符合预期就直接抛出事件验证异常

具体触发机制 #

你的场景刚好命中了校验逻辑的变更边界：

• 问题控件ddlCountry设置了服务端Visible="false"，但外层div没有服务端可见性控制，导致控件实际渲染到了前端HTML中，仅视觉不可见
• Selenium的表单提交逻辑会全量序列化所有表单控件的当前值（包括视觉不可见的下拉框）一同提交，而普通手动操作浏览器提交表单时，默认不会提交未修改的不可见控件值，这也是手动操作正常的核心原因
• 第一次回发页面返回验证错误后，该下拉框的前端值因为页面局部重渲染、或者Selenium的DOM读取逻辑出现了与服务端初始渲染值不一致的情况
• 二次提交时IIS 10的新校验逻辑检测到值不匹配，直接抛出Invalid postback or callback argument异常

可行解决方案 #

1. 最优方案：也就是你已经采用的冗余代码清理方案，给外层div添加runat="server" Visible="false"属性，让冗余控件完全不渲染到前端，从根源规避校验问题
2. 临时兼容方案：如果暂时不想修改页面结构，可以在对应页面的头部指令中添加EnableEventValidation="false"，关闭该页面的事件验证（仅推荐内部可信系统使用，公网系统关闭该配置会引入CSRF类安全风险）
3. 控件属性修复方案：给ddlCountry控件添加Disabled="true"属性，表单提交时会自动忽略该控件的值，也可以绕过校验

内容的提问来源于stack exchange，提问作者Jereme