ASP.NET MVC返回MemoryStream给iframe/embed时PDF被下载无法内嵌如何解决

问题原因 #

PDF直接下载而非内嵌展示的核心原因是：File方法传入第三个参数（下载文件名）时，ASP.NET MVC会自动给响应头添加Content-Disposition: attachment标识，该标识会强制浏览器触发下载行为，而非内嵌渲染。

解决方案 #

修改Action返回逻辑，手动将Content-Disposition设置为inline，即可让浏览器优先尝试内嵌渲染PDF：

public FileStreamResult GetPDFInBrowser(Guid id)
{
    // 原有获取数据的逻辑保持不变
    string url = "你的API链接";
    using HttpClient client = new HttpClient();
    string response = client.GetStringAsync(url).Result;
    Root responseObject = JsonConvert.DeserializeObject<Root>(response);
    OOLDocument oolDocument = responseObject.value[0];

    byte[] byteArray = Convert.FromBase64String(oolDocument.Contents);
    MemoryStream stream = new MemoryStream(byteArray);
    // 关键修改：设置Content-Disposition为inline，指定文件名但不触发下载
    // 若为.NET Framework环境，本行写法改为 Response.AddHeader("Content-Disposition", $"inline; filename=\"{oolDocument.FileName}\"");
    Response.Headers["Content-Disposition"] = $"inline; filename=\"{oolDocument.FileName}\"";
    // 不要传第三个文件名参数，避免MVC自动覆盖为attachment
    return File(stream, "application/pdf");
}

代码优化建议 #

• 弃用已被标记为过时的WebClient，改用HttpClient进行HTTP请求，性能和安全性都更优，建议将HttpClient注册为单例注入，而非每次请求都新建实例。
• 对非托管资源添加using声明自动释放：比如局部使用的MemoryStream、HttpClient都要包裹using，避免内存泄漏。
• 添加异常校验逻辑：覆盖API请求失败、反序列化结果为空、value数组无数据、Contents为无效Base64字符串的场景，返回友好错误提示而非直接抛出异常。
• 若站点配置了内容安全策略（CSP），需要确保object-src、frame-src指令允许application/pdf资源加载，否则内嵌渲染会被拦截。
• 极少数用户的浏览器会手动设置PDF默认直接下载，该场景属于客户端配置，服务端无法强制修改，可以在页面添加提示引导用户调整浏览器设置。

内容的提问来源于stack exchange，提问作者Kyllion