1

Есть папка

~/GlobalFiles/PeoplePhoto/

Там фоточки. Если я хочу получить фоточку, то пишу в адресную строку.

http://localhost:58370/GlobalFiles/PeoplePhoto/14.jpg

И получаю то, что хотел.

У каждого вошедшего есть роль, которая определяет на что пользователь имеет право, а на что нет. Так вот, получить фоточку можно любому по абсолютному пути, даже незарегистрированному. Как это исправить? Как проверять роль, перед переходом пользователя в данный каталог к конкретной фотографии.

1 ответ 1

4

Раздачу статического контента можно реализовать через контроллер, переложив на него все необходимые проверки прав доступа (через атрибуты контролера/метода или в самом теле функции).

[HttpGet]
[Route("GlobalFiles/PeoplePhoto/{photoId:int}")]
public ActionResult PeoplePhoto(int photoId)
{
    // Реализовать проверку прав доступа (в коде метода или через атрибуты)
    // Реализовать проверку на наличие файла отображения 
    byte[] imgBytes = System.IO.File.ReadAllBytes(Server.MapPath($"~/GlobalFiles/PeoplePhoto/{photoId}.jpg"));
    return File(imgBytes, "image/jpeg");
    //Если файла не существует —> return HttpNotFoundResult();
}

Для того, чтобы закрыть прямой доступ по ссылке к изображениям, в директории GlobalFiles разместите файл web.config:

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <system.webServer>
    <security>
      <requestFiltering>
        <hiddenSegments applyToWebDAV="true">
          <add segment="PeoplePhoto" />
        </hiddenSegments>
      </requestFiltering>
    </security>
  </system.webServer>
</configuration>

Альтернативным вариантом запрета доступа к изображениям может быть изменение логики сохранения файлов: например, сохранять файлы без явного указания их расширения, и/или сохранять файлы с именам в виде например, GUID'ов (с сохранением сопоставлений id <-> Guid в БД).

Простой отказ от стандартного расширения (.jpg в вашем случае) вероятно, будет самым простым вариантом: связано это с тем, что файлы jpg по-умолчанию обрабатывается System.Web.StaticFileHandler'ом и доступны напрямую по ссылке без какой-либо фильтрации. После удаления расширения (или изменения его на не обрабатываемое StaticFileHandler'ом — например «.hidden») доступ к файлу по прямой ссылке получить будет невозможно и без модификации web.config.

Ссылка на изображение будет иметь такой вид:

<img src="/GlobalFiles/PeoplePhoto/14" />
3
  • Здорово, работает! Только вот по абсолютному пути я всё ещё могу обратиться... Скрин: i.imgur.com/3LdujZk.png Я не нашёл подходящей команды для блокировки просмотра по абсолютному пути. И маленькая поправка при получении пути System.IO.File.ReadAllBytes(Server.MapPath(".....")); Server.MapPath обязателен, без него путь кривой.
    – Tima
    16 июл 2017 в 11:28
  • @Tima Дополнил ответ, обратите внимание на новый web.config. Для корректной работы должна быть установлена компонента IIS RequestFiltering. Так же рассмотрите альтернативный вариант с сохранением изображений под «непрямыми» названиями (и, особенно, расширениям). 16 июл 2017 в 11:32
  • Да, прочёл, работает идеально. Спасибо Вам большое!
    – Tima
    16 июл 2017 в 11:33

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.