使用C#从SQL Server自动下载文件至指定文件夹的技术问询

你的现有代码是实现让客户端浏览器下载文件的逻辑，要改成自动将文件保存到服务器指定文件夹，需要替换Response相关的客户端输出逻辑，改为服务器端文件写入操作，同时修复SQL注入风险，以下是具体实现方案：

核心修改点 #

• 移除客户端下载的Response操作，改用File.WriteAllBytes将文件数据写入服务器指定路径
• 确保目标文件夹存在，避免路径不存在的错误
• 替换字符串拼接的SQL为参数化查询，防止SQL注入

完整示例代码 #

// 1. 指定服务器上的目标文件夹路径（建议配置在web.config，避免硬编码）
string targetFolder = Server.MapPath("~/AutoDownloads/"); 
// 或者使用绝对路径：@"D:\ServerFiles\AutoDownloads\"

// 2. 确保目标文件夹存在，不存在则创建
if (!Directory.Exists(targetFolder))
{
    Directory.CreateDirectory(targetFolder);
}

// 3. 使用参数化查询读取文件数据（避免SQL注入）
string sql = "select fileName, filedata from tblFiles where ID = @ID";
SqlCommand cmd = new SqlCommand(sql);
cmd.Parameters.AddWithValue("@ID", ID); // ID为传入的文件ID参数

DataTable dt = dbs.MNTSQLSelect(cmd); // 若你的MNTSQLSelect仅支持字符串SQL，需重构方法或直接用SqlConnection实现

if (dt.Rows.Count > 0)
{
    string fileName = dt.Rows[0]["fileName"].ToString();
    byte[] fileData = (byte[])dt.Rows[0]["filedata"];
    
    // 拼接完整的文件保存路径
    string fullFilePath = Path.Combine(targetFolder, fileName);
    
    try
    {
        // 4. 将文件数据写入指定路径
        File.WriteAllBytes(fullFilePath, fileData);
        Response.Write($"文件已成功保存到服务器：{fullFilePath}");
    }
    catch (Exception ex)
    {
        Response.Write($"文件保存失败：{ex.Message}");
        // 可选：记录错误日志到数据库或文件
    }
}
else
{
    Response.Write("未找到ID对应的文件");
}

关键注意事项 #

• 权限配置：确保IIS应用池的身份（如IIS AppPool\你的应用池名称）对目标文件夹拥有读写权限，否则会抛出UnauthorizedAccessException。
• 路径安全：用Path.Combine拼接路径，避免因分隔符（如/或\）导致的路径错误；Web应用中Server.MapPath可将相对路径转换为服务器绝对路径。
• SQL注入防护：绝对禁止字符串拼接SQL的写法，参数化查询是必须的，若你的MNTSQLSelect方法不支持参数化命令，建议直接用SqlConnection和SqlDataAdapter实现查询，示例如下：

  DataTable dt = new DataTable();
  using (SqlConnection conn = new SqlConnection("你的数据库连接字符串"))
  {
      conn.Open();
      using (SqlDataAdapter adapter = new SqlDataAdapter(cmd))
      {
          adapter.Fill(dt);
      }
  }
  

• 异常处理：文件写入可能遇到磁盘满、文件被占用等问题，建议添加try-catch块捕获异常并处理。

内容的提问来源于stack exchange，提问作者mam