ASP.NET 頁面間傳值六大方式全解析：QueryString、Session、Cookie、Application、Server.Transfer、隱藏字段優劣對比

六大傳值方式總覽

詳細實現與代碼範例

1. QueryString：最簡單但最不安全

// 源頁面 a.aspx
Response.Redirect($"b.aspx?name={Server.UrlEncode(lblName.Text)}&id={userId}");

// 目標頁面 b.aspx
string name = Request.QueryString["name"]; // 自動解碼
int id = int.Parse(Request.QueryString["id"]);

缺點： 長度限制 (~2KB)、明文暴露、可被篡改、不支援複雜類型。

2. Session：最常用的會話狀態容器

// 源頁面
Session["CurrentUser"] = userObj; // 存放任意物件

// 目標頁面
if (Session["CurrentUser"] is User u) { /* 使用 */ }

// 清理
Session.Remove("CurrentUser"); // 單個
Session.Clear(); // 全部
Session.Abandon(); // 銷毀會話

注意： 大量數據導致記憶體壓力，集群需配置 StateServer/SQLServer。

3. Cookie：客戶端持久化

// 寫入
var cookie = new HttpCookie("Pref", "theme=dark&lang=zh") { 
    Expires = DateTime.Now.AddMonths(1),
    HttpOnly = true, // 防 XSS
    Secure = true    // 僅 HTTPS
};
Response.Cookies.Add(cookie);

// 讀取
if (Request.Cookies["Pref"] != null) {
    string val = Request.Cookies["Pref"].Value;
}

限制： 每域 ~4KB、數量限制、用戶可禁用/清除。

4. Application：全域共享狀態

// 寫入 (需鎖定防併發)
Application.Lock();
Application["VisitCount"] = (int)Application["VisitCount"] + 1;
Application.UnLock();

// 讀取
int count = (int)Application["VisitCount"];

用途： 全站計數器、緩存公共配置、應用級單例。切勿存放用戶私有數據！

5. Server.Transfer：伺服器端無縫跳轉 (WebForms 獨有)

// 源頁面 a.aspx - 定義公共屬性
public string UserName => txtName.Text;

// 跳轉
Server.Transfer("b.aspx", true); // true=保留 QueryString/Form

// 目標頁面 b.aspx - 獲取前頁實例
protected void Page_Load(object sender, EventArgs e) {
    if (Context.Handler is a prevPage) {
        string name = prevPage.UserName;
        // 或直接取表單值
        string email = Request.Form["txtEmail"];
    }
}

與 Response.Redirect 差異：

6. 隱藏字段：表單級狀態保持

// 前台
<asp:HiddenField ID="hfToken" runat="server" Value="<%= GenerateToken() %>" />

// 後台讀取 (PostBack 時)
string token = hfToken.Value;

本質是 <input type="hidden">，隨表單提交，配合 ViewState 加密可防篡改。

選型決策流程圖

需要跨頁面傳值
    │
    ├─ 數據敏感/複雜對象/會話級 → Session
    │
    ├─ 簡單參數/需分享書籤/SEO → QueryString
    │
    ├─ 客戶端持久化/跨會話/記住我 → Cookie
    │
    ├─ 全站共享/計數/配置 → Application
    │
    ├─ 內部多步流程/不想換 URL/傳對象 → Server.Transfer
    │
    └─ 單頁 PostBack 狀態/CSRF Token → 隱藏字段

安全加固建議

• Session： HTTPS、cookieHttpOnly、regenerateExpiredSessionId、短超時
• Cookie： HttpOnly、Secure、SameSite=Strict/Lax、簽名驗證
• QueryString： 敏感數據加密、簽名防篡改、避免直接暴露 ID
• Server.Transfer： 僅信任內部跳轉，驗證前頁類型
• 通用： 最小權限原則、及時清理、審計日誌

結語

「沒有最好的傳值方式，只有最適合場景的選擇。」—— 理解存儲位置、生命週期、類型支援、安全邊界五大維度，組合使用才能構建健壯的 Web 應用。