C＃安全性：檢查查詢字符串有效的.pdf文件名

Question

我修改使用一些JavaScript基於此標記值屬性下載文件.aspx頁：

<input type="hidden" id="launchDocument" value="pdf/<%=Settings.LaunchDocument%>" > 

該值是當前硬編碼到Web.config文件中。客戶希望這個頁面現在成爲他們存檔通訊的下載頁面。我的想法就是要在從查詢字符串的文件名的網頁拉那麼發送頁面可以定義正在被下載哪些文件：

<input type="hidden" id="launchDocument" value="../pdf/<%=Request.QueryString["filename"]%>" /> 

但是，我很擔心是否有任何安全風險，此方法。如果有，檢查查詢字符串的值的最佳做法是什麼，以確保它是一個有效的.pdf文件名，然後將其添加到頁面中？

在此先感謝您的幫助！

Answer 1

使用的論壇搜索，你會發現這樣的：

Regular expressions in C# for file name validation

Answer 2

您可以創建一個HTTP處理程序來監視這些請求，並在處理程序檢查文件是否存在，如果它不重定向到一個適當的錯誤頁面...

Answer 3

1. 不要在<input>領域
2. 使用的文件擴展名始終追加.PDF由輸入提供的路徑。
3. 將相對路徑展開爲絕對路徑。
4. 驗證的絕對路徑（檢查它在PDF下載目錄）

Answer 4

爲什麼實際文件名需要在那裏？創建一個表，將一個文件名與一個GUID關聯起來並傳遞給它。

當需要下載時，轉移到加載並吐出文件的腳本。