添加JavaScript图像上传到.NET网站 - 安全问题

Question

我有一个网站建立在ASP.NET和C＃上。该网站的其中一项要求是允许用户在WYSIWYG类型编辑器中输入文字以及上传图像。

我开始使用.NET HTMLEditor进行开发，起初很高兴。花了几个小时尝试向控件添加图像上传按钮后，我放弃了控制。

相反，我现在使用obout HTMLEditor，它的工作效果很好。它有一个图片上传器，我可以动态设置位置来保存文件，这很好。现在，图像会进入我可以部分用IIS锁定的站点的子文件夹，以防止目录浏览等事情。

我的问题是，因为我对javascript的了解很少，所以关心的是潜在的安全问题。之前，当我使用.NET代码进行图片上传时，我可以采取一些步骤。我假设JavaScript代码以与运行该网站的IIS ApplicationPool相同的用户特权运行。

所以最后，这个问题。在.NET网站上实现JavaScript图片上传器是否安全？我看到的唯一的其他解决方案是编写一个.NET图像上传器，然后使用“图像浏览器”控件将图像插入HTMLEditor，但这对用户来说似乎更难。

Answer 1

是的，JavaScript代码总是在客户端执行。它不可能使用JavaScript访问您的网络服务器的任何资源。