ASP.NET项目中如何对不可信用户上传的Excel文件进行Sanitize？

一、选对安全的解析组件 #

• 避开老旧或无人维护的库，优先选用EPPlus（非商用场景免费）、ClosedXML这类仅专注读取单元格数据的工具。它们不会处理Excel中的OLE对象、嵌入式二进制内容，从根源减少触发恶意逻辑的可能。
• 绝对不要使用依赖Office COM组件的解析方式（比如Microsoft.Office.Interop.Excel），COM组件权限过高，极易被恶意文件利用。

二、上传前的三道核心校验 #

• 扩展名+文件签名双验证：仅放行.xlsx、.xls（非必要情况下建议只支持xlsx），拒绝.xlsm、.xlsb这类含宏或复杂结构的格式。不能只看扩展名，需读取文件头字节确认真实格式：.xlsx的文件头为50 4B 03 04（本质是ZIP包），.xls的文件头为D0 CF 11 E0 A1 B1 1A E1，签名不符直接拒绝上传。
• 限制文件大小：根据业务需求设置合理上限，比如10MB以内，防止超大文件耗尽服务器资源或触发解析组件的内存溢出漏洞。

三、解析前的文件隔离处理 #

• 上传文件不要存入Web目录，放到专门的临时文件夹中，并给该文件夹设置最小权限：仅允许应用程序池用户拥有读权限，禁止执行、写入（临时存文件的操作除外）。
• 解析完成后立即删除临时文件，避免残留恶意文件被利用。

四、解析过程的风险控制 #

• 禁用组件危险特性：比如EPPlus需设置ExcelPackage.LicenseContext = LicenseContext.NonCommercial;（非商用场景），同时确保不开启任何允许读取嵌入式对象、执行代码的配置。
• 异常即终止流程：在解析代码外层包裹try-catch块，一旦出现解析错误、内存占用异常等情况，立即终止解析，返回错误提示，不要继续处理文件。
• 只读取必要内容：指定读取特定工作表（比如第一个工作表）、特定列（比如A到C列），不要遍历整个文件的所有内容，减少接触恶意结构的概率。

五、解析后的数据校验与 sanitize #

• 对读取到的代码列表做格式校验：比如限定为字母数字组合、设置长度上限，若出现特殊字符、超长内容、二进制数据，直接丢弃该条记录或拒绝整个文件。
• 数据入库或前端展示前，按常规做SQL注入、XSS防护：使用参数化查询插入数据库，输出内容时做HTML编码。

六、服务器层面的防护补充 #

• 启用ASP.NET请求过滤：在web.config中配置上传文件大小、允许的扩展名，拦截可疑请求头。
• 给应用程序池设置最低权限：不要使用LocalSystem或管理员账户运行，改用专用低权限账户，即便解析组件被攻破，也能限制攻击者的操作范围。
• 定期更新组件与系统：EPPlus等解析库会定期发布安全补丁，服务器系统也需及时更新，封堵已知漏洞。

内容的提问来源于stack exchange，提问作者Skary