在C# Web开发中，文件上传是常见的功能需求，但客户端请求里的Content-Type字段完全由用户控制，并不可信。若服务端仅依据该字段做安全校验，攻击者可轻易伪造类型上传恶意脚本，造成服务器被入侵。因此我们需要在服务端对文件真实类型进行识别与限制。
为什么错误的Content-Type有风险
浏览器或客户端在上传时自行填写Content-Type，比如把asp马文件标成image/png。若后端用如下代码判断：
// 仅依赖请求头中的ContentType
if (request.Files[0].ContentType != "image/png")
{
return "类型错误";
}
攻击者只要修改请求头就能绕过。更危险的是某些环境会按文件扩展名执行，若存为可解析脚本便形成webshell。
使用C#进行真实MIME嗅探
可靠做法是读取文件头部字节，通过魔法数字判断真实格式。可借助System.IO和简单映射实现：
using System;
using System.IO;
public static string SniffMime(byte[] data)
{
// 读取前几个字节做判断
if (data.Length >= 4 && data[0] == 0x89 && data[1] == 0x50 && data[2] == 0x4E && data[3] == 0x47)
return "image/png";
if (data.Length >= 3 && data[0] == 0xFF && data[1] == 0xD8 && data[2] == 0xFF)
return "image/jpeg";
if (data.Length >= 2 && data[0] == 0x47 && data[1] == 0x49)
return "image/gif";
return "unknown";
}
结合白名单与存储隔离
除嗅探外，还应限制允许扩展名，并将文件保存到非执行目录。参考下表：
| 措施 | 说明 |
|---|---|
| 扩展名白名单 | 仅允许png,jpg,gif等静态资源 |
| 真实MIME校验 | 对比嗅探结果与声明类型 |
| 存储隔离 | 放到无脚本执行权限的静态目录 |
完整校验示例
using System;
using System.IO;
using System.Web;
public void SaveUpload(HttpPostedFile file)
{
byte[] buf = new byte[file.ContentLength];
file.InputStream.Read(buf, 0, buf.Length);
string realMime = SniffMime(buf);
// 白名单限制
if (realMime != "image/png" && realMime != "image/jpeg" && realMime != "image/gif")
throw new Exception("非法文件类型");
// 存到静态目录
string name = Guid.NewGuid().ToString() + ".bin";
file.SaveAs(Path.Combine("C:\static_uploads\", name));
}
总结
在C#文件上传场景中，绝不能信任客户端Content-Type。通过服务端字节级MIME嗅探、扩展名白名单与存储隔离，可有效防止因错误类型导致的安全问题，保障应用稳定与安全。
C#文件上传MIME嗅探Content_Type安全防护修改时间：2026-07-24 21:21:19