c# - HttpPostedFile.ContentType 是验证上传文件的完美方式吗？

Question

我想验证文件类型以确保用户正在上传 JPEG、GIF 或 PNG 类型的图像。我认为使用 HttpPostedFile.ContentType 会更安全，因为它会检查 MIME 内容类型，而不是检查文件扩展名。

protected void cvValidateImageType_ServerValidate(object source, ServerValidateEventArgs args)
{
    if (fupImage.HasFile)
    {
        args.IsValid = (fupImage.PostedFile.ContentType.ToLower() == "image/jpg" ||
                        fupImage.PostedFile.ContentType.ToLower() == "image/jpeg" ||
                        fupImage.PostedFile.ContentType.ToLower() == "image/pjpeg" ||
                        fupImage.PostedFile.ContentType.ToLower() == "image/gif" ||
                        fupImage.PostedFile.ContentType.ToLower() == "image/x-png" ||
                        fupImage.PostedFile.ContentType.ToLower() == "image/png");

    }
    else
        args.IsValid = true;
}

这是检查文件类型的完美方法，还是可以被愚弄？

Answer 1

使用扩展可能更安全。 ContentType 在来自客户端的 http 请求中发送。如果测试扩展名，用户可以将 exe 的扩展名更改为 jpg，但它不会作为 exe 运行。