ASP.NET控制器URL传带扩展名文件名下载异常的优化方案咨询

首先得搞清楚你最初遇到问题的根源：当传入带扩展名的文件名时请求没到达控制器，这是因为ASP.NET默认会把带扩展名的URL当成静态资源处理，直接去磁盘找对应的文件，不会路由到你的ApiController方法，所以才会出现异常。下面给你几个更优的解决方案，兼顾安全性和灵活性：

方案1：调整路由配置，允许带扩展名的请求路由到控制器 #

如果你希望支持带扩展名的文件名参数，只需要在路由配置中开启RouteExistingFiles，让ASP.NET优先尝试路由到控制器，而不是直接处理静态文件：

// 在RouteConfig.cs或者WebApiConfig.cs中添加
RouteTable.Routes.RouteExistingFiles = true;

然后修改控制器代码，重点加强安全验证（避免路径遍历攻击，比如传入../../malicious.pdf这种恶意参数），同时用Path.Combine更安全地拼接路径：

public HttpResponseMessage GetFileConverted(string fileName) 
{ 
    if (String.IsNullOrEmpty(fileName)) 
        return Request.CreateResponse(HttpStatusCode.BadRequest); 

    // 安全验证：只保留文件名部分，防止路径遍历
    string safeFileName = Path.GetFileName(fileName);
    if (string.IsNullOrEmpty(safeFileName))
        return Request.CreateResponse(HttpStatusCode.BadRequest);

    string filePath = System.Web.Hosting.HostingEnvironment.MapPath("~/Uploads/");
    string fullPath = Path.Combine(filePath, safeFileName);

    // 检查文件是否存在
    if (!File.Exists(fullPath))
        return Request.CreateResponse(HttpStatusCode.NotFound);

    HttpResponseMessage response = new HttpResponseMessage(HttpStatusCode.OK); 
    response.Content = new StreamContent(new FileStream(fullPath, FileMode.Open, FileAccess.Read)); 
    response.Content.Headers.ContentDisposition = new System.Net.Http.Headers.ContentDispositionHeaderValue("attachment"); 
    response.Content.Headers.ContentDisposition.FileName = safeFileName; 
    // 根据实际文件类型动态设置ContentType
    response.Content.Headers.ContentType = new MediaTypeHeaderValue(MimeMapping.GetMimeMapping(fullPath)); 
    return response; 
}

这个方案的好处是支持用户传入带或不带扩展名的文件名，同时通过Path.GetFileName和文件存在检查，避免了安全风险。

方案2：规范化文件名，自动处理扩展名 #

如果你希望统一只处理不带扩展名的参数，但又想兼容可能传入带扩展名的情况，可以自动检测并规范化文件名：

public HttpResponseMessage GetFile(string fileName) 
{ 
    if (String.IsNullOrEmpty(fileName)) 
        return Request.CreateResponse(HttpStatusCode.BadRequest); 

    // 安全验证
    string safeFileName = Path.GetFileName(fileName);
    if (string.IsNullOrEmpty(safeFileName))
        return Request.CreateResponse(HttpStatusCode.BadRequest);

    // 检查是否已有扩展名，没有则添加.pdf
    string fileExtension = Path.GetExtension(safeFileName);
    if (string.IsNullOrEmpty(fileExtension))
        safeFileName += ".pdf";

    string filePath = System.Web.Hosting.HostingEnvironment.MapPath("~/Uploads/");
    string fullPath = Path.Combine(filePath, safeFileName);

    if (!File.Exists(fullPath))
        return Request.CreateResponse(HttpStatusCode.NotFound);

    HttpResponseMessage response = new HttpResponseMessage(HttpStatusCode.OK); 
    response.Content = new StreamContent(new FileStream(fullPath, FileMode.Open, FileAccess.Read)); 
    response.Content.Headers.ContentDisposition = new System.Net.Http.Headers.ContentDispositionHeaderValue("attachment"); 
    response.Content.Headers.ContentDisposition.FileName = safeFileName; 
    // 动态获取文件对应的MIME类型
    response.Content.Headers.ContentType = new MediaTypeHeaderValue(MimeMapping.GetMimeMapping(fullPath)); 
    return response; 
}

这样不管用户传入的是test还是test.pdf，都能正确找到对应的文件，同时保持了接口的灵活性。

方案3：使用MVC的FileResult（如果是MVC控制器而非Web API） #

如果你用的是MVC控制器而非Web API控制器，可以直接用框架提供的File方法，代码会更简洁：

public ActionResult DownloadFile(string fileName)
{
    if (string.IsNullOrEmpty(fileName))
        return BadRequest();

    string safeFileName = Path.GetFileName(fileName);
    if (string.IsNullOrEmpty(safeFileName))
        return BadRequest();

    string fileExtension = Path.GetExtension(safeFileName);
    if (string.IsNullOrEmpty(fileExtension))
        safeFileName += ".pdf";

    string filePath = Server.MapPath("~/Uploads/" + safeFileName);
    if (!System.IO.File.Exists(filePath))
        return NotFound();

    return File(filePath, MimeMapping.GetMimeMapping(filePath), safeFileName);
}

关键注意事项 #

• 安全第一：永远不要直接信任用户传入的文件名，一定要用Path.GetFileName过滤掉路径部分，防止路径遍历攻击。
• 动态设置ContentType：不要硬编码application/pdf，可以用MimeMapping.GetMimeMapping(fullPath)根据文件扩展名自动获取正确的MIME类型，支持更多文件格式。
• 文件存在检查：添加File.Exists检查，避免因文件不存在抛出异常，返回更友好的404响应。

内容的提问来源于stack exchange，提问作者guiz