直接按原名保存，是有安全隐患的 <- 中国开发网

CNDEV.ORG

当前在线

论坛

CBD
- 程序员情感CBD
- 程序员见面交流会
CBD开发区
- Java/J2ME
- .NET/C#
- 数据库
- Delphi/BCB
- Visual C
个人
- 袁国术的个人网站
- 翟旭东网!!!
其它
情感
游戏
- CNDEV-CS/WOW
- 浩宇长空
生活
论坛系统

中国开发网: 论坛: 程序员情感CBD: 贴子 391227

haitao：

直接按原名保存，是有安全隐患的

[阅读: 500] 2006-09-06 03:10:00

无权下载这个文件的人，猜到文件名，就能下载了

经过后2种办法的处理，这个问题基本可以解决了

相关信息:

asp程序想输出调试信息，除了response.write，有没有别的办法？ (87字) (haitao [1262] 2006-09-05 12:28)
- log (空) (JoJo [518] 2006-09-05 12:30)
  - Log(number) (74字) (haitao [539] 2006-09-05 12:34)
    - 有我不就告诉你了，asp就那么点东西 (20字) (JoJo [620] 2006-09-05 12:37)
      - 我的思路可能是比较特别。。。。 (99字) (haitao [552] 2006-09-05 12:46)
- 这种东西是我最烦的,不好调试. (4字) (wynnhjg [578] 2006-09-05 12:39)
- 还是自己用delphi写一个outputdebugstring的组件才行。。。。 (空) (haitao [875] 2006-09-05 14:15)
  - 支持这个 (空) (老玉米 [496] 2006-09-05 14:17)
  - 【需求无止境】想把当前访问的是哪一个asp文件也log出来。。。。 (62字) (haitao [599] 2006-09-05 15:21)
- response.end (空) (咔波碧宝 [580] 2006-09-05 14:19)
- 【需求无止境】asp上传文件aaa.txt，保存到后台的一个目录，按时间随机数命名为20060905150101_37429.dat (284字) (haitao [1188] 2006-09-05 15:04)
  - 去读http规范，里面有 (空) (JoJo [638] 2006-09-05 15:08)
    - 感觉这样下载是不经过asp的，它使不上劲。。。。如果用过滤器，可能可以 (21字) (haitao [569] 2006-09-05 15:16)
      - 你就让他经过asp处理, http://..../832389.dat只是这样显示给客户呀 (空) (zhenghj [537] 2006-09-05 15:45)
        正解 (空) (好望角 [459] 2006-09-05 15:46)
        总是担心这样多转一手，效率会低。。。。 (26字) (haitao [509] 2006-09-05 15:50)
        别担心了，效率和功能需要平衡，如果效率在你的应用场景下可以接受的话有什么大问题呢？再说你就是再加一台服务器来处理又能多花多少钱呢？ (空) (乌烟 [532] 2006-09-06 09:49)
        我现在的应用是部门的问题反馈系统。。。。 (228字) (haitao [606] 2006-09-06 10:06)
  - 这个问题以前搞 InterWeb 的时候搞过。不过已经忘记了是怎么搞的了。哈哈. (空) (pcplayer [522] 2006-09-05 15:11)
    - 是不是intraweb的js模板自动帮你作的？ (空) (haitao [560] 2006-09-05 15:16)
      - 不是。自己搞定的。就是要设置输出的一个 http 头。 (空) (pcplayer [503] 2006-09-05 15:29)
        我的下载是直接使用http://..../832389.dat进行下载的，没有经过asp的处理 (13字) (haitao [564] 2006-09-05 15:30)
        那就不知道了。既然服务器端没有程序，不知道客户端JS能不能帮上忙。 (空) (pcplayer [654] 2006-09-05 15:43)
        现在尽量想让js来作，url知道了，希望保存为的文件名也知道的了 (空) (haitao [633] 2006-09-05 15:52)
        明确的告诉你 (10字) (JoJo [535] 2006-09-05 16:17)
        安全？ (15字) (haitao [524] 2006-09-05 16:21)
        js / browser (空) (乌烟 [434] 2006-09-06 09:50)
  - 你要把文件内容流化，并且设置http header，指定一个你想要的文件名。不要直接redirect到那个Url (空) (Miracle [719] 2006-09-05 15:47)
    - 总是担心这样多转一手，效率会低。。。。 (26字) (haitao [0] 今天 15:50) (空) (haitao [581] 2006-09-05 15:51)
      - 你认为Web Server是怎么做的？ (30字) (Miracle [948] 2006-09-05 16:15)
        嘿嘿，总是有人在做无谓的担心 (20字) (JoJo [596] 2006-09-05 16:17)
        我现在的应用就是先按实际文件名转存到临时目录再提供下载都没问题 (54字) (haitao [544] 2006-09-05 16:20)
        比较一下 (56字) (haitao [578] 2006-09-05 16:18)
  - 已经可以跳出saveas的对话框了。。。。 (30字) (haitao [588] 2006-09-06 10:22)
    - execCommand 好像不支持保存url的对话框。。。 (2245字) (haitao [703] 2006-09-06 10:44)
- alert (空) (dead_lee [470] 2006-09-05 18:42)
  - 这个海涛老师肯定是知道的吧. (空) (wynnhjg [493] 2006-09-05 18:52)
  - alert是在客户端执行的吧 (19字) (haitao [521] 2006-09-05 20:58)
    - 你不是调试么,你不是担心重定向后丢失当前页面的调试信息么... (110字) (dead_lee [652] 2006-09-06 09:39)
      - 执行完是有一个“response.redirect("另一个.asp?ID="&ID)” (319字) (haitao [922] 2006-09-06 09:47)
        是啊,这时候页面进程会被hold住,重定向走不动的. (50字) (dead_lee [594] 2006-09-06 10:27)
- 创建一个FSO对象写个Debug文本不行吗？ (空) (茶壶 [522] 2006-09-06 09:54)
- 你不会先把那个response.redirect注释吗？？？？？ (空) (有狐 [481] 2006-09-06 09:54)
  - 呵呵，这倒是。。。。 (64字) (haitao [533] 2006-09-06 10:02)
    - 不在预期的位置出现只能说明你没在正确的位置写response.write (空) (有狐 [705] 2006-09-06 10:04)
      - 那是，我肯定在变量最近的地方写response.write了 (空) (haitao [549] 2006-09-06 10:08)
        管它出现在哪，只要你看到了你要的变量的值就行了 (空) (有狐 [489] 2006-09-06 10:10)
  - 开发的时候你可以上网去下载一个300-100.asp，有利于调试。 (空) (有狐 [557] 2006-09-06 10:06)
    - 在您的指定语言中找不到相关的网页。以下是其它有关 "300-100.asp" 的网页。 (2403字) (haitao [666] 2006-09-06 10:09)
      - 可能我记错了？哈哈，500-100.asp (空) (有狐 [512] 2006-09-06 10:14)
        http://www.aspxuexi.com/iis/faq/2006-8-10/959.htm (空) (有狐 [566] 2006-09-06 10:16)
        好像是明确、美化出错信息的？ (46字) (haitao [477] 2006-09-06 10:41)
        都告诉你修改http header了，还问啊。没有第2条路。 (空) (Miracle [554] 2006-09-06 10:47)
        他是个非要按自己的思路走通的人。除非他自已确信真的走不通。 (空) (茶壶 [517] 2006-09-06 10:58)
        修改http header，就是不能让用户直接点url吧。。。。不这样，办法还是有的，只是目前想到的都比较笨。。。 (179字) (haitao [713] 2006-09-06 10:58)
        这不自找麻烦吗。先说那“笨办法”，要是2G的文件，20个人同时下载，你试试看。 (52字) (Miracle [919] 2006-09-06 11:06)
        直接按原名保存，是有安全隐患的 (48字) (haitao [499] 2006-09-06 11:10)
        解决个头，A下载过后，保留路径，就可以让B C D也下载了。 (14字) (Miracle [502] 2006-09-06 11:10)
        那是A有意泄密，是没办法啊 (24字) (haitao [536] 2006-09-06 11:12)
        服了 (空) (Miracle [435] 2006-09-06 11:13)
        I服了you (10字) (JoJo [485] 2006-09-06 11:08)
        haitao大师把发散性思维运用到了极致，脱线中…… (空) (Miracle [540] 2006-09-06 11:10)
        呵。没看http 协议与http 实现的。 (空) (茶壶 [499] 2006-09-06 11:15)
        80/20法则。。。。。 (空) (haitao [465] 2006-09-06 11:19)
        无语中.......如果20的方向有偏呢？ (空) (茶壶 [468] 2006-09-06 11:21)
        80/20不是方向，而是工作量。。。。 (6字) (haitao [464] 2006-09-06 11:23)
        我是说工作建立在错误方向的基础上。 (空) (茶壶 [474] 2006-09-06 11:26)
        你把80%的时间浪费在思考20%的东西上面 (空) (Miracle [436] 2006-09-06 11:21)
        那也是本来就要花的。。。。 (10字) (haitao [483] 2006-09-06 11:23)
        祝你早日摸通。。。 (空) (JoJo [515] 2006-09-06 11:25)
        那个asp写日志的组件，就是摸出来的付产品 (17字) (haitao [543] 2006-09-06 11:28)
        我只知道80/18 (空) (JoJo [446] 2006-09-06 11:21)
        16更好！ (空) (好望角 [418] 2006-09-06 11:23)
        16犯法滴。。。 (空) (JoJo [447] 2006-09-06 11:24)
        看哪里了 (空) (好望角 [414] 2006-09-06 11:26)
    - 为什么少了200 (空) (Miracle [457] 2006-09-06 10:30)

欢迎光临本社区，您还没有登录，不能发贴子。请在这里登录

页面内容处理时间: 0.026 - 599432