ASP.NET で enableEventValidation を有効にする目的は何ですか

ASP.NET では、サーバで生成されたイベントだけがページでフォーム送信時に発生するように、enableEventValidation があります。これは、クロスサイトスクリプティング攻撃 (XSS) やデータ改ざんを防ぐための安全機構です。

enableEventValidationを使用すると、ASP.NETではページロード時にクライアント側の隠しフィールドが生成され、許可されるイベントがすべて記載される。フォームをサーバーに送信すると、ASP.NETはその隠しフィールド内のイベント情報を検証し、それが送信される唯一のイベントであることを確認し、悪意のあるユーザーが送信されるイベント情報を変更できないようにする。

enableEventValidationを有効にすることで、Webサイトのセキュリティが強化され、不正なイベントのトリガーが防止され、XSS攻撃やデータ改ざんのリスクが低減します。ただし、サーバーは非表示のフィールドを生成して検証する必要があるため、ページの読み込みや遅延が増える可能性があります。そのため、場合によってはパフォーマンスを向上させるためにenableEventValidationを無効にすることを検討できますが、潜在的なセキュリティリスクには注意してください。