ASP.NET Web Forms ViewState 視圖狀態完整解析：原理、啟用控制、效能優化與安全性

ViewState 是 Web Forms 區別於傳統 ASP 的關鍵特性：**自動保持控制項狀態跨 PostBack 不遺失**，解決經典 ASP 表單提交後值被清空的痛點。本文深入解析 ViewState 運作原理、層級控制、效能影響、安全性考量與最佳實務。

經典 ASP vs Web Forms：狀態管理差異

經典 ASP 痛點

<form action="classic.asp" method="post">
    姓名：<input type="text" name="fname" size="20">
    <input type="submit" value="送出">
</form>

<%
    fname = Request.Form("fname")
    If fname <> "" Then Response.Write("Hello " & fname & "!")
%>

提交後若伺服器驗證失敗回傳，**所有輸入值消失**，使用者必須重新填寫。

Web Forms ViewState 解決方案

<form runat="server">
    姓名：<asp:TextBox ID="txtName" runat="server" />
    <asp:Button Text="送出" runat="server" OnClick="btn_Click" />
    <asp:Label ID="lblMsg" runat="server" />
</form>

<script runat="server">
    void btn_Click(object sender, EventArgs e) {
        lblMsg.Text = "Hello " + txtName.Text + "!";
    }
</script>

提交後**文字方塊值保留**，Label 顯示結果，使用者體驗大幅提升。

ViewState 運作原理

隱藏欄位機制

每個 <form runat="server"> 自動包含隱藏欄位：

<input type="hidden" name="__VIEWSTATE" 
    value="dDwtNTI0ODU5MDE1Ozs+ZBCF2ryjMpeVgUrY2eTj79HNl4Q=" />

• 序列化：頁面生命週期 SaveViewState 階段，將所有啟用 ViewState 控制項的屬性值序列化為 Base64 字串
• 傳輸：表單提交時隨同 POST 資料送至伺服器
• 反序列化：LoadViewState 階段還原控制項屬性值

生命週期關鍵階段

1. Init - 控制項樹建立
2. LoadViewState - **還原 ViewState 資料**（PostBack 時）
3. LoadPostData - 處理表單輸入值（IPostBackDataHandler）
4. Load - Page_Load 事件
5. RaisePostBackEvent - 按鈕 Click 等事件
6. SaveViewState - **序列化儲存 ViewState**
7. Render - 產生 HTML 輸出

ViewState 層級控制

1. 頁面層級關閉

<%@ Page EnableViewState="false" %>

整頁所有控制項停用 ViewState（除非控制項明確 EnableViewState="true"）。

2. 控制項層級控制

<asp:GridView ID="gvData" runat="server" EnableViewState="false" />  <-- 僅此控制項關閉
<asp:TextBox ID="txtInput" runat="server" EnableViewState="true" />   <-- 強制啟用

3. 個別屬性層級

控制項繼承 Control 類別，可覆寫 SaveViewState/LoadViewState 自訂特定屬性是否納入 ViewState。

ViewState 內容分析：什麼會被儲存？

效能影響與優化策略

ViewState 體積估算

• 簡單頁面：1-5 KB
• 含 GridView 50 筆資料：50-200 KB
• 複雜巢狀控制項：500 KB+

過大 ViewState 導致：頻寬浪費、回傳延遲、序列化/反序列化 CPU 開銷、最大要求長度限制（預設 4MB）。

優化策略優先序

1. 關閉不需要的控制項：EnableViewState="false" 針對唯讀顯示控制項（Label、Literal、Repeater）
2. 資料繫結控制項分頁：GridView AllowPaging="true" + PageSize 限制單頁筆數
3. 移除不必要屬性：避免設定大量樣式屬性，改用 CSS Class
4. 壓縮 ViewState：覆寫 SavePageStateToPersistenceMedium/LoadPageStateFromPersistenceMedium 實作 GZip 壓縮
5. 移至伺服器端儲存：Session、Cache、資料庫、檔案系統（需覆寫 PageStatePersister）
6. 分割 ViewState：<pages viewStateEncryptionMode="Auto" maxPageStateFieldLength="1024" /> 分割隱藏欄位

程式碼範例：GZip 壓縮 ViewState

protected override void SavePageStateToPersistenceMedium(object viewState) {
    using (MemoryStream ms = new MemoryStream()) {
        using (GZipStream gzip = new GZipStream(ms, CompressionMode.Compress)) {
            LosFormatter formatter = new LosFormatter();
            formatter.Serialize(gzip, viewState);
        }
        ClientScript.RegisterHiddenField("__VIEWSTATE", Convert.ToBase64String(ms.ToArray()));
    }
}

protected override object LoadPageStateFromPersistenceMedium() {
    string vs = Request.Form["__VIEWSTATE"];
    if (string.IsNullOrEmpty(vs)) return null;
    
    byte[] bytes = Convert.FromBase64String(vs);
    using (MemoryStream ms = new MemoryStream(bytes)) {
        using (GZipStream gzip = new GZipStream(ms, CompressionMode.Decompress)) {
            LosFormatter formatter = new LosFormatter();
            return formatter.Deserialize(gzip);
        }
    }
}

安全性考量

ViewState 內容可被解碼

Base64 非加密，任何人可解碼查看內容結構。敏感資料**絕不可**存入 ViewState。

啟用 MAC 驗證防篡改

<%@ Page EnableViewStateMac="true" %>  <-- 預設開啟
<pages enableViewStateMac="true" viewStateEncryptionMode="Auto" />  <-- web.config

• EnableViewStateMac：附加雜湊碼驗證完整性，防止惡意竄改
• viewStateEncryptionMode="Auto"：含 ViewStateMode="Encrypted" 控制項時自動加密

機器金鑰設定

<machineKey validationKey="AutoGenerate,IsolateApps" 
            decryptionKey="AutoGenerate,IsolateApps" 
            validation="SHA1" decryption="AES" />

Web Farm 環境必須手動設定相同 machineKey 確保跨伺服器驗證一致。

ViewState vs Session vs Cache vs ControlState 比較

ControlState：關鍵狀態的最後防線

自訂控制項開發時，核心運作狀態（如 GridView 分頁索引、排序運算式）應儲存於 ControlState，確保即使頁面關閉 ViewState 仍能正常運作：

protected override void OnInit(EventArgs e) {
    Page.RegisterRequiresControlState(this);
    base.OnInit(e);
}

protected override object SaveControlState() {
    return new Pair(base.SaveControlState(), _currentPageIndex);
}

protected override void LoadControlState(object savedState) {
    Pair p = (Pair)savedState;
    base.LoadControlState(p.First);
    _currentPageIndex = (int)p.Second;
}

最佳實務檢查清單

• [ ] 頁面/控制項層級明確設定 EnableViewState
• [ ] GridView/DataList 啟用分頁、限制 PageSize
• [ ] 大量資料改用 Repeater + 手動分頁、關閉 ViewState
• [ ] 敏感資料（密碼、身分證、金額）絕不存入 ViewState
• [ ] EnableViewStateMac="true"、viewStateEncryptionMode="Auto" 啟用
• [ ] Web Farm 環境設定共用 machineKey
• [ ] 監控 ViewState 大小（Trace、Fiddler、開發者工具 Network 面板）
• [ ] 自訂控制項核心狀態使用 ControlState

ViewState 是 Web Forms 狀態管理的基石，理解其運作機制、效能代價與安全性風險，能建構出高效能、安全的 Web 應用程式。下一節將介紹 Web Forms 表單架構與 runat="server" 核心機制。