ViewBag основан на сеансе, и он основан только на запросе CURRENT, и поэтому имеет те же ограничения, что и сеанс, с дополнительным преимуществом, которое он удаляет в конце этого запроса, поэтому нет - это недоступно. Даже если кто-то сможет украсть ваш идентификатор сеанса и захватить сеанс, данные представления исчезнут.
TempData - это еще одна история, и перехват сеанса позволил бы пользователю перехватить другой сеанс - следовательно, tempdata, но пользователь по-прежнему не сможет увидеть это по умолчанию, если вы не передадите эту информацию в информацию трассировки. Так что, в принципе, если бы я мог украсть ваш сеанс, любой код, который у вас есть в следующем запросе, будет выполняться для меня, а не для пользователя, который «ожидает» следующего запроса. Но они все еще не могут перечислить его и получить к нему доступ.