用戶能否逃脫asp.net core的應用程序文件夾？

Question

例如，文件css.css是可訪問的，因為它應該是

訪問網址：

本地主機：1234 / css.css

projects_folder
    - application.dll
    - wwwroot\css.css

但是情況如何：

disk
     secret_folder
          - secret.txt
     application_folder
          - application.dll
          - wwwroot\css.css

我可以安全地假設even with some tricks!用戶也無法做到這一點even with some tricks! ：

本地主機：1234 /../ secret_folder / secret.txt

在默認ASP .NET Core的MVC模板中？

Answer 1

這取決於應用程序的配置方式。

在默認的ASP .NET Core的MVC模板中，您應該在Startup.Configure中包含以下內容，以允許訪問wwwroot文件夾中的靜態文件：

public void Configure(IApplicationBuilder app)
{
    app.UseStaticFiles(); // For the wwwroot folder
}

無參數的UseStaticFiles方法重載將Web根（wwwroot）中的文件標記為可服務。

為了訪問Web根目錄之外的靜態文件，您將需要添加進一步的配置，如以下鏈接中所述：

https://docs.microsoft.com/en-us/aspnet/core/fundamentals/static-files?view=aspnetcore-2.1&tabs=aspnetcore2x