asp.net-mvc - 打开relaxedUrlToFileSystemMapping 以允许部分以 '.' 结尾的URL 是否存在潜在的安全风险？

Question

我们遇到的问题是，当 URL 的任何部分以“.”结尾时，我们的应用程序会失败。在里面';由于功能要求，我们无法避免这种情况。建议的解决方案是在 web.config 文件中打开relaxedUrlToFileSystemMapping。我们想知道这种方法是否存在任何潜在的安全风险。

失败 URL 的格式:http://server.com/path1/krishnakk./path2

它返回 404 错误。

Answer 1

尽管这个问题已经有七个月的历史了，但这里有一个答案，以防其他人遇到这样的情况。

关于问题的安全部分，默认relaxedUrlToFileSystemMapping设置为 false，并且 ASP .NET 假定 URL 的路径部分是有效的 NTFS 文件路径。如果您通过设置 relaxedUrlToFileSystemMapping 禁用此功能如果为 true，则您可能会打开您的站点以进行攻击，因为您禁用了 ASP .NET 提供的默认保护。

如果您绝对需要设置relaxedUrlToFileSystemMapping如果为 true，您还应该确保在应用程序要求的约束范围内验证所有 URL。