c# - 在网站的 bin 文件夹中包含 csc.exe 的安全问题

Question

为了在 MVC5 下的 .cshtml 文件中使用 C# 6 功能(如 ?.)，您 need to include csc.exe and related files in your website's bin folder when you deploy it .好的，我能理解其中的原因。

但是，这现在意味着我的网络服务器上有一个完整的 C# 编译器，具有与网站用户相同的权限。这让我犹豫不决 - 理论上，攻击者可以使用它来运行任意代码，就好像它是我的网站一样。

这实际上是一个有效的安全问题吗？

我可以看到两面:一方面，您可能已经需要执行任意代码的能力，以便能够将任意代码传递给 csc 可执行文件。另一方面，我可以看到对它的访问被用于通过运行我们永远不想编写的代码来访问内部网站设置(如数据库连接字符串)。

我应该担心吗，或者这被认为是安全的吗？

Answer 1

据我了解，MVC Razor View 实际上是任意 C# 代码，在任何更改后都会根据需要重新编译。

因此，任何有权访问网站服务器的黑客都可以在任何版本的 MVC 中运行任意 C# 代码。

我同意这感觉像是一种风险，因为确实如此，但另一方面，您可以获得无需重新发布整个网站即可更改 View 的优势。