不是漏洞, 正常现象.
因为服务端控件dropdownlist在render之前,会把它的一些属性(每个item的text,value)存在viewstate中(就是一个编码之后的hidden),否则我们怎么能象window form中的控件一样取到它的selected item的text,value呢? 因为在http请求中,对于select我们只能得到select item value..net 用这个value结合viewstate中的内容,让我们能取得text.
但对于你的客户短加的新项目,因为你不能改变viewstate中的内容,所以在server端不能象正常的item一样取的text or value.不过,你用request.form的形式是可以取的新项的id.