security - HttpPostedFile.FileName - IE とは異なる

Question

ASP:File コントロールを使用してサイトにファイルをアップロードすると、FileName プロパティが IE と Firefox で異なります。Firefox ではファイルの名前を提供するだけですが、IE ではファイルへのフルパスを提供します。

コードを追加することでこれを回避しました：

Dim FileName As String = file.FileName
If FileName.LastIndexOf("\") > 0 Then
    FileName = FileName.Substring(FileName.LastIndexOf("\") + 1)
End If

しかし、それがブラウザによって異なる理由はわかりません。誰かがこれの理由を知っていますか？

ありがとう。

score 31 · Accepted Answer

IE と Chrome でテスト済みの簡単な回避策

new FileInfo(myHttpPostedFileBase.FileName).Name

これにより、パスが含まれている場合でも、常にファイル名だけを取得できます。

score 12 · Accepted Answer

これはセキュリティ/プライバシー上の問題です。firefox/mozilla はこれを正しく行っており、アドイン、アプレット、Silverlight、フラッシュ、またはその他のメカニズムなしでは完全なパスを取得する方法はありません。

Mozilla のスタンスに関する詳細情報は次のとおりです。

セキュリティの変更 -> ファイルアップロードフィールドのセクションを参照してください。

IE がこれに続いて、一貫した安全な環境が実現されることを願っています。

score 7 · Accepted Answer

IE8 では、この動作が変更され、フルパスではなく、ファイル名のみが渡されます。;-)

ファイル名を解析しようとしているサーバー側アプリはチェックする必要がありますが、ファイル名にバックスラッシュがあるとは想定していません。

4 に答える 4