如何通过控制器操作和ajax保护文件下载？

Question

我有一个应用程序，我希望用户能够上传和下载自己的文件。我实现了上传和下载，但是我担心下载操作的XSS漏洞。我只能使用GET方法实现实际下载的文件，但我想保护它（通常我使用POST +防伪令牌）。我该怎么做？

这是我的控制器操作：

        public ActionResult DownloadFile(int clientFileId)

        {

            var clientId = GetClientId(clientFileId);

            var client = _unitOfWork.Clients.GetById(clientId);

            if (client == null)

                return HttpNotFound();

            var file = _unitOfWork.ClientFiles.GetById(clientFileId);

            if (file == null)

                return HttpNotFound();

            var practiceId = _unitOfWork.Users.GetPracticeIdForUser(User.Identity.GetUserId());

            if (!AuthorizationHelper.CheckBelongsToPractice(_unitOfWork.Clients, typeof(Client),

                practiceId, client.Id, nameof(Client.Id), nameof(Client.PracticeId)))            

            {

                return new HttpUnauthorizedResult();

            }

            var fileInfo = new FileInfo(file.FilePath);

            var fileName = fileInfo.Name;

            if (!fileInfo.Exists)

                return HttpNotFound();

            var path = Path.Combine(Server.MapPath("~/ClientFiles/" + clientId + "/"), fileName);

            var contentType = MimeMapping.GetMimeMapping(path);

            try

            {

                var contentDisposition = new System.Net.Mime.ContentDisposition

                {

                    FileName = fileName,

                    Inline = false,                    

                };

                Response.AppendHeader("Content-Disposition", contentDisposition.ToString());

                return File(path, contentType, fileName);

            }

            catch (Exception ex)

            {

                new ExceptionlessLogger(ex).Log();

                return new HttpStatusCodeResult(500);

            }

        }

Answer 1

我在这里找到了答案：https://codepen.io/chrisdpratt/pen/RKxJNo$('#client-files-table').on('click', '.js-download', function () {        var link = $(this);                $.ajax({            url: '/clients/clientfiles/downloadfile?clientFileId=' + link.attr('data-clientfile-id'),            method: 'POST',            data: {                __RequestVerificationToken: getToken()                            },                        xhrFields: {                responseType: 'blob'            },            success: function (data, status, xhr) {                var a = document.createElement('a');                var url = window.URL.createObjectURL(data);                a.href = url;                var header = xhr.getResponseHeader('Content-Disposition');                var filename = getFileNameByContentDisposition(header);                a.download = filename;                a.click();                window.URL.revokeObjectURL(url);                loadPartials();            },            error: function () {                toastr.error('Unable to download.');            }        });                });