将带有加密生成的128个字符的文件名的pdf文件放在公共Web文件夹中是否危险？
[英]Is it dangerous to put pdf files with cryptographically-generated-128-character file names in a public web folder?
问题描述
我有一个网站，允许用户请求pdf格式的秘密报告。
我的想法是将生成的pdf文件放在禁用了目录浏览的公用文件夹中。
每个文件名均包含128个字符，这些字符是唯一和加密生成的。
合法用户将获得其自己报告的链接。
将带有加密生成的128个字符的文件名的pdf文件放在公共Web文件夹中是否危险？
2 个解决方案
解决方案1
3 已采纳 2011-03-07 08:33:55
好吧，它确实可以说是“ 通过隐秘获得安全性” ，因此不赞成这样做。 考虑以下情况：
- 当其他人获得链接时会发生什么？ 通过监听连接，阅读电子邮件，入侵包含书签/下载历史记录/缓存的计算机。 由于链接始终存在，因此您的文档现已公开。
- 如果将来任何时候服务器的一小部分受到威胁，并且索引了目录（即使有一秒钟），则所有文件都是公共的。 这可能是一个写得不好的脚本，一个注入，一个XSS漏洞，一个目前未知的零时差。 您将文档暴露于最弱的链接 。
您可能不应该这样做 。 而是将文档放在文档根目录之外的安全位置 。 然后，当经过身份验证的用户通过安全（HTTPS）连接请求文档时，请使用脚本读取文档并通过连接写入文档 ，以提供文档服务 。 documentroot中没有临时文件！
解决方案2
1 2011-03-07 08:31:20
为什么不简单地从脚本中启用下载呢？
的download.php？文件= 128_char_filename.pdf
在哪里download.php检查用户对该文件的权限。 这样，您就不会在公共文件夹中拥有“安全”的pdf文件。
使用ASP.NET强制下载文件： http : //www.haiders.net/post/Force-File-Download-with-ASPNET.aspx
将ASP.NET生成的pdf byte []显示到网页而不保存文件
[英]Display ASP.NET generated pdf byte[] to web page without saving the file
将身份验证规则放在网站Web配置或每个文件夹特定的Web配置文件中的首选方式是什么？
[英]What is preferable to put authentication rules, in the site web config or in a web config file specific to each folder?
将文件复制到IIS中的Web应用程序文件夹会导致文件权限问题
[英]Copying files to web application folder in IIS causes file permission issues
在asp.net中分离软件模块的UI文件，将文件放在不同的文件夹中或将文件放在不同的Web解决方案中的良好做法是什么？
[英]what is a good practice for separating software module's UI files, put files in different folder or put files in different web solution in asp.net?
声明:本站的技术帖子网页，遵循CC BY-SA 4.0协议，如果您需要转载，请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.