C# ASP.NET WebAPI 如何将指定文件夹及下属文件以Blob形式返回

针对传入文件夹名称、返回包含全量子目录、文件且可被浏览器识别的需求，最通用、不需要额外开发前端解析逻辑的实现方式，是将目标目录递归打包为ZIP格式流直接返回。浏览器会自动识别该格式触发下载，完全满足可获取、可交互的要求，没有必要开发自定义的嵌套目录Blob解析逻辑。

具体实现流程 #

• 入参安全校验
  接口接收的是外部传入的文件夹名称，必须做路径穿越校验：将传入值和常驻存储卷的根绝对路径拼接后，校验最终解析出的目标路径是否完全落在存储卷根目录的范围内，过滤掉../这类可以跳出存储卷范围的路径字符，避免接口被利用访问服务器其他敏感目录。
• 目录递归遍历
  直接使用.NET 内置的Directory类提供的方法，递归枚举目标路径下的所有子文件夹、文件路径，遍历过程中捕获权限不足、文件锁定这类常见异常，跳过无法正常读取的条目，避免接口直接抛出500错误。
• 流式打包输出
  使用.NET 内置的System.IO.Compression命名空间下的ZipArchive能力，结合WebAPI提供的PushStreamContent，直接将遍历到的文件按原有目录结构写入到HTTP响应的输出流中，边遍历边写入，不需要提前把完整压缩包落盘到服务器临时目录，也不要把全量文件都加载到内存中，降低磁盘和内存的开销。
  核心逻辑的简化代码参考：

  public HttpResponseMessage GetFolder(string folderName)
  {
      // 从配置读取存储卷根路径，避免硬编码
      var storageRoot = ConfigurationManager.AppSettings["StorageRootPath"];
      var targetPath = Path.GetFullPath(Path.Combine(storageRoot, folderName));
      // 路径校验，防止目录穿越
      if (!targetPath.StartsWith(Path.GetFullPath(storageRoot)))
      {
          return new HttpResponseMessage(HttpStatusCode.BadRequest) { 
              Content = new StringContent("非法的文件夹路径") 
          };
      }
      // 直接绑定流式输出内容
      var response = new HttpResponseMessage(HttpStatusCode.OK);
      response.Content = new PushStreamContent((stream, content, context) =>
      {
          using (var zip = new ZipArchive(stream, ZipArchiveMode.Create, leaveOpen: true))
          {
              // 在此处递归遍历目标目录，将每个文件按原层级写入zip条目
          }
      });
      return response;
  }
  

• 响应头配置
  按规范设置响应头，保证浏览器可以正确识别返回内容：
  • 设置Content-Type为application/zip，明确返回内容的格式
  • 设置Content-Disposition为attachment; filename=目标文件夹名称.zip，让浏览器自动触发文件下载，而不是尝试解析内容导致乱码
  • 遍历完目录计算出总内容大小后，设置Content-Length响应头，方便前端展示下载进度

适配纯Blob接收的场景 #

如果前端需要拿到原始Blob对象做二次处理，后端的返回逻辑不需要做任何修改。前端只需要通过fetch请求接口，拿到响应后直接调用response.blob()即可获取到完整的ZIP格式Blob对象，可以直接在前端做预览、二次上传等操作。

常见注意事项 #

• 不要把存储卷的根路径硬编码在代码中，从应用配置文件中读取路径值，适配不同部署环境的路径差异
• 如果接口会被跨域的前端页面调用，提前在WebAPI中配置对应的CORS规则，避免浏览器拦截返回的流内容
• 针对包含超大文件的目录场景，要适当调整接口的最大请求超时时间，避免因为打包时间过长导致连接中断

内容的提问来源于stack exchange，提问作者Mr.Gomer