javascript - 将 javascript 图像 uploader 添加到 .NET 网站 - 安全问题

Question

我有一个基于 ASP.NET 和 C# 构建的站点。该站点的其中一项要求是允许用户在所见即所得类型的编辑器中输入文本以及上传图像。

我开始使用 .NET HTMLEditor 进行开发，起初我很高兴。在花了几个小时尝试向控件添加图像 uploader 按钮后，我放弃了控件。

相反，我现在使用的是 obout HTMLEditor，它运行良好。它有一个图像 uploader ，我可以动态设置保存文件的位置，这很棒。现在图像进入网站的一个子文件夹，我可以用 IIS 部分锁定它以防止目录浏览之类的事情。

我担心的是潜在的安全问题，因为我对 javascript 知之甚少。以前，当我使用 .NET 代码上传图片时，我可以执行一系列步骤。我假设 javascript 代码以与网站运行所在的 IIS ApplicationPool 相同的用户权限运行。

所以最后，问题。在 .NET 网站上实现 javascript 图片 uploader 是否安全？我看到的唯一其他解决方案是编写 .NET 图像 uploader ，然后使用“图像浏览器”控件将图像插入 HTMLEditor，但这对用户来说似乎更难。

Answer 1

是的，javascript 代码总是在客户端执行。无法使用 javascript 访问您的网络服务器的任何资源。