ASP.NET Core WebApi如何不重定向不加载内存返回wwwroot下静态文件

前提说明 #

你原有方法定义返回string类型无法满足不加载文件到内存的要求，需要修改返回值为IActionResult，配合ASP.NET Core内置的文件响应方法实现需求。

实现步骤 #

1. 控制器注入IWebHostEnvironment获取wwwroot物理路径

private readonly IWebHostEnvironment _webHostEnv;

// 控制器构造函数，替换为你自己的控制器名称
public YourControllerName(IWebHostEnvironment webHostEnv)
{
    _webHostEnv = webHostEnv;
}

2. 修改Action实现，增加路径安全校验，返回物理文件流

[HttpGet("{uri}")]
public IActionResult Get(string uri)
{
    // 拼接目标文件的基础路径，限制仅允许访问MyXmlFiles目录
    var safeBasePath = Path.Combine(_webHostEnv.WebRootPath, "MyXmlFiles");
    var targetFilePath = Path.Combine(safeBasePath, uri);

    // 校验文件是否存在
    if (!File.Exists(targetFilePath))
    {
        return NotFound();
    }

    // 防止路径遍历攻击，校验最终路径是否在允许的目录范围内
    var actualPath = Path.GetFullPath(targetFilePath);
    if (!actualPath.StartsWith(Path.GetFullPath(safeBasePath), StringComparison.OrdinalIgnoreCase))
    {
        return Forbid();
    }

    // 直接返回物理文件，ASP.NET Core内部会用流写入响应，不会加载整个文件到内存
    // 第三个参数可选，传入文件名后会触发浏览器下载而不是直接展示内容
    return PhysicalFile(targetFilePath, "application/xml");
}

方案说明 #

• 内存占用优化：PhysicalFile方法底层直接操作文件流写入响应，不会把整个文件加载到托管内存，大文件场景下也不会出现内存溢出问题。
• 无重定向：该方法直接返回200状态码+文件内容，不会返回301/302重定向响应，完全符合需求。
• 安全加固：新增的路径校验可以避免攻击者传入../appsettings.json这类路径读取站点敏感文件，避免路径遍历漏洞。

内容的提问来源于stack exchange，提问作者user256890