Validation d'evenement en ASP.net 2.0 - EventValidation
ASP.net 2.0 propose un mécanisme de validation d'événement, cette validation permet de s'assurer que le PostBack soit bien voulu et non une tentative de piratage.
Par exemple le GridView fait plusieurs type de PostBack, en effet il nous est possible de sélectionner, éditer ou supprimer une ligne. En interne, les liens d'actions (edit, delete & co) exécutent la fonction __doPostBack avec différents arguments, le premier argument correspond à l'uniqueID du GridView et le second à l'argument de l'action, celui ci est composé du nom de l'action et du numéro de ligne séparé par un "$" . Par exemple le lien de l'action edit est "javascript:__doPostBack('gv1','Edit$1')".
Dans certains cas il nous arrive de nous abonner à l'événement rowDeleted sans toutefois rendre visible le lien dans le gridview. C'est généralement le cas dans les pages où les utilisateurs classiques ne peuvent pas supprimer une ligne alors que les admins le peuvent.
Que se passe t'il si l'on effectue manuellement ce PostBack en exécutant la fonction __doPostBack('gv1', 'Delete$1') ? Si vous avez correctement travaillé il n'y aura pas de surprise puisque vous vérifiez le rôle de l'utilisateur dans l'événement rowDeleted ! NON ?!? C'est là que la validation d'événement entre en action, en effet si vous tentez de lancer manuellement le PostBack de suppression vous aurez droit à cette erreur :
Invalid postback or callback argument. Event validation is enabled using <pages enableEventValidation="true"/> in configuration or <%@ Page EnableEventValidation="true" %> in a page. For security purposes, this feature verifies that arguments to postback or callback events originate from the server control that originally rendered them. If the data is valid and expected, use the ClientScriptManager.RegisterForEventValidation method in order to register the postback or callback data for validation.
Dans certains cas on a quand même envie de pouvoir faire ce genre de bidouille. Tout est expliqué dans le message d'erreur, vous pouvez définir la propriété enableEventValidation de la directive Page à false ce qui désactivera la validation d'événement au niveau de la page, vous pouvez aussi le faire pour tous le site via le web.config grâce à l'attribut EnableEventValidation de la balise page. Je vous le déconseille fortement, si cet erreur survient il faut comprendre pourquoi et remédier à cela autrement qu'en supprimant les sécurités ...
Vous avez maintenant envie d'utiliser la validation d'événements dans vos propres contrôles ? Rien de plus simple ! Il vous faut utiliser la méthode GetPostBackEventReference, qui, comme tout développeur de WebControl le sait, permet de récupérer le code JavaScript à exécuter pour lancer le postback.
Page.ClientScript.GetPostBackEventReference (Control control, String argument, Boolean RegisterForEventValidation)
Le dernier argument de cette méthode permet d'enregistrer l'événement pour validation.
Après avoir enregistré notre contrôle pour la validation d'événement il nous reste à le valider lors de la méthode RaisePostBackEvent qui est automatiquement appelé lorsque le contrôle effectue le PostBack. Pour cela il nous faut faire appel à la méthode ValidateEvent qui lancera une exception si l'eventArgument n'a pas été préalablement enregistré.
En interne ces valeurs sont stocké dans le champ caché d'id __EVENTVALIDATION :
<input type="hidden" name="__EVENTVALIDATION" id="__EVENTVALIDATION" value="/wEWCAL/+YCgCgL8kfvQDALsmvPJAgLs54QnAuya98kCAuznkMoIAuyay8kCAuznrP0C8NM4/VSobiCfASam7m9pvUjW4DA=" />
Si l'on regarde la méthode RaisePostBackEvent du gridview voici à quoi elle ressemble :
protected virtual void RaisePostBackEvent(string eventArgument)
{
base.ValidateEvent(this.UniqueID, eventArgument);
int num1 = eventArgument.IndexOf('$');
if (num1 >= 0)
{
CommandEventArgs args1 = new CommandEventArgs(eventArgument.Substring(0, num1), eventArgument.Substring(num1 + 1));
GridViewCommandEventArgs args2 = new GridViewCommandEventArgs(null, this, args1);
this.HandleEvent(args2, false, string.Empty);
}
}
Vous savez donc maintenant comment fonctionne la validation d'événement et connaissez les risques que cela entraine si vous souhaiter quand même la désactiver.