（安全）.NET/C# 防止跨目录访问下载

小渣渣

场景：有一个 api 接口，接收路径参数，通过一定的规则完整的文件路径，然后响应给用户下载，简单来说，就是下载接口。

Request:
GET /download_page?id=content.dat HTTP/1.1

Request:
GET /download_page?id=..%2f..%2fweb.config HTTP/1.1（这样就将服务器的 web.config 文件下载）

假设 D:\storage\123 为存储的根目录，所有存储的文件在该目录下，当用户将路径加上 .. 符号的时候就可以跨到上一个目录下面，url 参数通过传递 ../../ 很容易访问到敏感的资源并且下载。

解决方案

先看效果图：



代码如下：

登录可见。