添加JavaScript圖像上傳到.NET網站 - 安全問題

Question

我有一個網站建立在ASP.NET和C＃上。該網站的其中一項要求是允許用戶在WYSIWYG類型編輯器中輸入文字以及上傳圖像。

我開始使用.NET HTMLEditor進行開發，起初很高興。花了幾個小時嘗試向控件添加圖像上傳按鈕後，我放棄了控制。

相反，我現在使用obout HTMLEditor，它的工作效果很好。它有一個圖片上傳器，我可以動態設置位置來保存文件，這很好。現在，圖像會進入我可以部分用IIS鎖定的站點的子文件夾，以防止目錄瀏覽等事情。

我的問題是，因爲我對javascript的瞭解很少，所以關心的是潛在的安全問題。之前，當我使用.NET代碼進行圖片上傳時，我可以採取一些步驟。我假設JavaScript代碼以與運行該網站的IIS ApplicationPool相同的用戶特權運行。

所以最後，這個問題。在.NET網站上實現JavaScript圖片上傳器是否安全？我看到的唯一的其他解決方案是編寫一個.NET圖像上傳器，然後使用「圖像瀏覽器」控件將圖像插入HTMLEditor，但這對用戶來說似乎更難。

Answer 1

是的，JavaScript代碼總是在客戶端執行。它不可能使用JavaScript訪問您的網絡服務器的任何資源。