C# MVC中如何编码PNG/JPG/PDF返回值以防范XSS攻击

嘿，这个问题我之前帮朋友排查过类似场景，其实得先理清楚：当你返回image/png、image/jpeg或application/pdf这类二进制内容时，只要浏览器能正确识别响应的Content-Type，就会直接解析成对应的媒体格式，不会把二进制数据当成HTML/JS执行——这本身就从根源上堵了大部分XSS风险。但还是有几个容易踩坑的场景，下面给你具体的防范思路：

1. 死磕Content-Type的正确性，绝对不能让它被篡改 #

这是最基础也最关键的一步！你代码里已经在设置contentType了，但一定要用白名单严格限制，绝对不能让用户输入或者不可信的动态值决定这个类型。比如：

// 先定义合法的类型列表，只从这里选
var allowedTypes = new HashSet<string> { "image/png", "image/jpeg", "application/pdf" };
// 根据你的ImageFormat参数匹配合法类型，默认用png兜底
string contentType = allowedTypes.Contains(ImageFormat) ? MapFormatToContentType(ImageFormat) : "image/png";
// 然后把这个类型明确设置到响应头里
Response.ContentType = contentType;

要是攻击者能把Content-Type改成text/html，那原本的二进制图片/PDF数据就可能被浏览器当成HTML解析，直接触发XSS。所以白名单一定要卡死。

2. 清理图片元数据里的“脏东西” #

图片的EXIF元数据（比如拍摄信息、注释字段）可能被插入恶意脚本，虽然直接打开图片不会执行，但如果后续你的应用把这些元数据渲染到HTML页面（比如展示图片详情），或者图片被传到其他平台，就可能出问题。所以：

• 如果不需要保留元数据，返回前直接清空所有EXIF信息就行。用System.Drawing或者ImageSharp这类库都能做到，比如：

// 用ImageSharp清理EXIF的示例
using var image = Image.Load(mem);
image.Metadata.ExifProfile = null; // 直接清空元数据
using var cleanStream = new MemoryStream();
image.Save(cleanStream, image.Metadata.DecodedImageFormat);
return File(cleanStream.ToArray(), contentType);

• 如果必须保留元数据，等以后要把这些内容展示到HTML里时，一定要用HttpUtility.HtmlEncode()做HTML编码，把特殊字符转义掉。

3. 尽量别直接在HTML里内联Base64格式的内容 #

要是你的应用把图片/PDF转成Base64嵌入到HTML（比如<img src="data:image/png;base64,...">），那得注意两点：

• 服务器端严格校验转换后的Base64内容，确保真的是对应格式的二进制数据，不是伪装成Base64的HTML/JS。
• 所有转换过程都在服务器端完成，绝对不能让用户参与或控制这个过程。

4. 给PDF加上“防脚本锁” #

PDF文件本身可以包含JavaScript代码，虽然现代浏览器默认会禁用，但保不齐有些旧环境或者特殊场景会触发。所以：

• 如果是你自己生成PDF，直接禁用脚本功能。比如用iTextSharp的话，可以这么设置：

var writer = PdfWriter.GetInstance(document, mem);
writer.SetPdfVersion(PdfWriter.PDF_VERSION_1_7);
// 明确禁用PDF中的JavaScript
writer.AddViewerPreference(PdfName.JAVASCRIPT, PdfBoolean.PDF_FALSE);

• 如果是用户上传的PDF，返回前最好先扫描一下，看看有没有藏恶意脚本或者可执行内容。

5. 加几个安全响应头，加固防线 #

给返回媒体内容的响应加上这两个头，能进一步降低风险：

• X-Content-Type-Options: nosniff：强制浏览器严格按照你设置的Content-Type解析内容，不会乱猜类型（比如把图片当成HTML解析）。
• Content-Disposition：如果希望浏览器直接下载而不是在线预览，可以设成attachment; filename="safe-file.png"，这样能避免浏览器渲染时的潜在问题。
  在MVC里设置很简单：

Response.Headers.Add("X-Content-Type-Options", "nosniff");
// inline表示在线预览，attachment是直接下载，根据需求选
Response.Headers.Add("Content-Disposition", "inline; filename=\"" + GetSafeFileName() + "\"");

总的来说，核心就是：卡死Content-Type的白名单，清理元数据，限制PDF脚本，加上安全头，这一套下来就能把这类场景的XSS风险降到最低啦。

内容的提问来源于stack exchange，提问作者Engelbart