Sử dụng bố trí nội dung trong tiêu đề phản hồi HTTP

Tôi đã tìm thấy mã asp.net sau đây rất hữu ích khi phục vụ các tệp từ cơ sở dữ liệu:

Response.AppendHeader("content-disposition", "attachment; filename=" + fileName);

Điều này cho phép người dùng lưu tệp vào máy tính của họ và sau đó quyết định cách sử dụng tệp, thay vì trình duyệt đang cố sử dụng tệp.

Những điều khác có thể được thực hiện với tiêu đề phản hồi bố trí nội dung?

Lưu ý rằng RFC 6266 thay thế các RFC được tham chiếu bên dưới. Phần 7 phác thảo một số mối quan tâm bảo mật liên quan.

Cơ quan có thẩm quyền về tiêu đề xử lý nội dung là RFC 1806 và RFC 2183. Mọi người cũng đã nghĩ ra cách hack nội dung. Điều quan trọng cần lưu ý là tiêu đề xử lý nội dung không phải là một phần của tiêu chuẩn HTTP 1.1.

Tiêu chuẩn HTTP 1.1 ( RFC 2616 ) cũng đề cập đến các tác dụng phụ bảo mật có thể có của việc xử lý nội dung:

15,5 Vấn đề xử lý nội dung

RFC 1806 [35], từ đó
tiêu đề Nội dung xử lý nội dung (xem phần 19.5.1) thường được thực hiện trong HTTP, có một số
cân nhắc bảo mật rất nghiêm trọng. Bố trí nội dung không phải là một phần của
tiêu chuẩn HTTP, nhưng vì nó được triển khai rộng rãi, chúng tôi đang
ghi lại việc sử dụng và rủi ro cho người triển khai. Xem RFC 2183 [49]
(cập nhật RFC 1806) để biết chi tiết.

Chà, có vẻ như tiêu đề Xử lý nội dung ban đầu được tạo cho e-mail chứ không phải web. ( Liên kết đến RFC có liên quan .)

Tôi đoán rằng các trình duyệt web có thể đáp ứng

Response.AppendHeader("content-disposition", "inline; filename=" + fileName);

khi tiết kiệm, nhưng tôi không chắc.

Tham khảo RFC 6266 (Sử dụng Trường tiêu đề xử lý nội dung trong Giao thức truyền siêu văn bản (HTTP)) http://tools.ietf.org/html/rfc6266

Đối với người dùng asp.net, .NET framework cung cấp một lớp để tạo tiêu đề bố trí nội dung: System.Net.Mime.ContentDisposeition

Cách sử dụng cơ bản:

var cd = new System.Net.Mime.ContentDisposition();
cd.FileName = "myFile.txt";
cd.ModificationDate = DateTime.UtcNow;
cd.Size = 100;
Response.AppendHeader("content-disposition", cd.ToString());

Tiêu đề này được xác định trong RFC 2183 , vì vậy đó sẽ là nơi tốt nhất để bắt đầu đọc.

Các giá trị được phép là những giá trị được đăng ký với Cơ quan cấp số được gán Internet (IANA); đăng ký giá trị của họ nên được coi là nguồn chính xác.

Thiết nghĩ bài viết KB này trên phần hỗ trợ của Microsoft có liên quan đến cuộc thảo luận ở đây Cách nâng hộp thoại tải xuống tệp cho loại mime đã biết