用户是否可以转义 asp.net 核心的应用程序文件夹？

Question

例如，文件css.css是可访问的，因为它应该是

访问网址：

本地主机：1234/css.css

projects_folder
- application.dll
- wwwrootcss.css

但是情况呢：

disk
secret_folder
- secret.txt
application_folder
- application.dll
- wwwrootcss.css

我可以安全地假设用户无法even with some tricks!

：

本地主机：1234/../secret_folder/秘密.txt

在默认的ASP .NET Core的MVC模板中？

Answer 1

这取决于应用程序的配置方式。

在默认的 ASP .NET Core 的 MVC 模板中，您的 Startup 中应具有以下内容。配置为允许访问 wwwroot 文件夹中的静态文件：

public void Configure(IApplicationBuilder app)
{
app.UseStaticFiles(); // For the wwwroot folder
}

无参数 UseStaticFiles 方法重载将 Web 根目录 (wwwroot( 中的文件标记为可服务。

为了访问 Web 根目录之外的静态文件，您需要添加进一步的配置，如以下链接中所述：

https://learn.microsoft.com/en-us/aspnet/core/fundamentals/static-files?view=aspnetcore-2.1&tabs=aspnetcore2x