2

我正在尝试开发具有安全性的上传文件功能，就像我的编程讲师要求我做的那样。我以这样一种方式实现了它，它会检查文件的大小、文件格式和是否存在。除了检查文件的存在之外，逻辑运行良好。例如，当我尝试上传一个已经存在的文件时，我不会收到一条消息告诉我该文件已经存在并且我不知道它为什么不工作。

protected void UploadFile(object sender, EventArgs e)
    {
        if(FileUpload1.HasFile)
            try 
            {
                string[] validTypes = { "bmp", "gif"};
                string ext = System.IO.Path.GetExtension(FileUpload1.PostedFile.FileName);

                if (size < limit) 
                {
                    for (int i = 0; i < validTypes.Length; i++)
                    {
                        if (ext == "." + validTypes[i])
                        {
                            string path = @"~\Images\"; 
                            string comPath = Server.MapPath(path + "\\" + FileUpload1.FileName);
                            if (!File.Exists(comPath))
                            {
                                FileUpload1.PostedFile.SaveAs(comPath);
                                Label1.Text = "File uploaded";
                            }
                            else
                            {
                                Label1.Text = "Existed";
                            }
                        }
                        else 
                        {
                            Label1.Text = "Invalid File." + string.Join(",", validTypes);
                        }
                    }                         
                }

                else 
                {
                    Label2.ForeColor = System.Drawing.Color.Red;
                    Label2.Text = "file is heavy";
                }
            }

            catch (Exception ex)
            {
                Label2.Text = "The file could not be uploaded. The following error occured: " + ex.Message;
            }
}

当我调试代码时，我发现它会执行 else 语句，但它不会显示给用户，而是会在外部 else 语句中显示消息“无效文件”。为什么？

if (ext == "." + validTypes[i])
                            {
                                string path = @"~\Images\"; 
                                string comPath = Server.MapPath(path + "\\" + FileUpload1.FileName);
                                if (!File.Exists(comPath))
                                {
                                    FileUpload1.PostedFile.SaveAs(comPath);
                                    Label1.Text = "File uploaded";
                                }
                                else
                                {
                                    Label1.Text = "Existed";
                                }
                            }
                            else 
                            {
                                Label1.Text = "Invalid File." + string.Join(",", validTypes);
                            }

另外，我的导师告诉我，以下行会导致一个称为路径遍历的漏洞。

string path = @"~\Images\";

那么如何防范这个安全漏洞呢？？有任何想法吗？

4

1 回答 1

2

您的代码中存在逻辑问题。
在街区

for (int i = 0; i < validTypes.Length; i++)

它总是为每个文件运行两次。

你可以做什么你把一个布尔变量设置为假。
进入循环，如果找到文件将布尔值设置为 true 并使用 break 语句。
在循环结束时检查布尔值并相应地编码。

编辑-1

而不是循环遍历数组，您可以像这样使用

string[] stringArray = { "text1", "text2", "text3", "text4" };
string value = "text3";
int pos = Array.IndexOf(stringArray, value);
if (pos >- 1)
{
    // the array contains the string and the pos variable
    // will have its position in the array
}

在你的情况下

 string[] validTypes = { "bmp", "gif"};
 string ext = System.IO.Path.GetExtension(FileUpload1.PostedFile.FileName);
 int pos = Array.IndexOf(validTypes , ext );
 if(pos>=0)
 {
     string path = @"~\Images\"; 
     string comPath = Server.MapPath(path + "\\" + FileUpload1.FileName);
     if (!File.Exists(comPath))
     {
         FileUpload1.PostedFile.SaveAs(comPath);
         Label1.Text = "File uploaded";
     }
     else
     {
         Label1.Text = "Existed";
     }
 }
 else
 {
    Label1.Text = "Invalid File." + string.Join(",", validTypes);
 }
于 2013-03-20T09:32:51.473 回答