Asp.net Web Forms中JPG图片上传的非法文件验证方案咨询

这个问题很典型——只校验文件扩展名确实防不住恶意用户改后缀上传，得从**前端初步拦截+后端双重校验（扩展名+文件头）**入手，下面给你一套完整的可落地方案：

一、前端初步校验（提升用户体验，拦截误操作） #

先在客户端做一层基础校验，虽然能被绕过，但可以快速反馈给用户，减少无效请求。给FileUpload控件加onchange事件：

<asp:FileUpload ID="fuImage" runat="server" onchange="validateFile(this)" />
<asp:Label ID="lblError" runat="server" ForeColor="Red" Visible="false"></asp:Label>

<script type="text/javascript">
    function validateFile(fileInput) {
        var allowedExtensions = /(\.jpg|\.jpeg)$/i;
        var fileName = fileInput.value;
        
        // 清空之前的错误提示
        const errorLabel = document.getElementById('<%= lblError.ClientID %>');
        errorLabel.style.display = 'none';
        
        if (!allowedExtensions.exec(fileName)) {
            fileInput.value = ''; // 清空选择的文件
            errorLabel.innerText = '请选择JPG/JPEG格式的图片文件！';
            errorLabel.style.display = 'block';
            return false;
        }
        return true;
    }
</script>

二、后端双重校验（核心防御，防篡改） #

前端校验只是开胃菜，真正的安全防线在后端，要做扩展名校验+文件头（Magic Number）校验：

1. 扩展名校验 #

先获取文件的扩展名，统一转成小写避免大小写问题：

string fileName = fuImage.FileName;
string extension = Path.GetExtension(fileName).ToLower();

// 允许的图片格式
var allowedExtensions = new List<string> { ".jpg", ".jpeg" };

if (!allowedExtensions.Contains(extension))
{
    lblError.Text = "上传文件格式无效，请选择JPG/JPEG格式！";
    lblError.Visible = true;
    return;
}

2. 文件头（Magic Number）校验 #

这是关键！就算改了后缀，文件的二进制开头（Magic Number）不会变：

• JPG/JPEG的文件头是0xFF 0xD8 0xFF
• EXE的文件头是0x4D 0x5A（对应ASCII的"MZ"）

写一个辅助方法来读取文件头并判断：

private bool IsValidJpg(HttpPostedFile file)
{
    if (file.ContentLength < 3) // JPG文件至少要有3字节的头
        return false;
        
    // 读取文件的前3个字节
    byte[] header = new byte[3];
    file.InputStream.Read(header, 0, 3);
    file.InputStream.Position = 0; // 重置流位置，后续保存文件需要用到
    
    // 匹配JPG的文件头标识
    return header[0] == 0xFF && header[1] == 0xD8 && header[2] == 0xFF;
}

然后在上传逻辑里调用这个方法：

if (!IsValidJpg(fuImage.PostedFile))
{
    lblError.Text = "上传的文件不是有效的JPG图片，请勿篡改文件后缀！";
    lblError.Visible = true;
    return;
}

三、完整的上传按钮事件示例 #

把上面的逻辑整合到Button的Click事件里：

protected void btnUpload_Click(object sender, EventArgs e)
{
    lblError.Visible = false;
    
    // 检查是否选择了文件
    if (!fuImage.HasFile)
    {
        lblError.Text = "请先选择要上传的文件！";
        lblError.Visible = true;
        return;
    }
    
    // 1. 扩展名校验
    string extension = Path.GetExtension(fuImage.FileName).ToLower();
    var allowedExtensions = new List<string> { ".jpg", ".jpeg" };
    if (!allowedExtensions.Contains(extension))
    {
        lblError.Text = "上传文件格式无效，请选择JPG/JPEG格式！";
        lblError.Visible = true;
        return;
    }
    
    // 2. 文件头校验
    if (!IsValidJpg(fuImage.PostedFile))
    {
        lblError.Text = "上传的文件不是有效的JPG图片，请勿篡改文件后缀！";
        lblError.Visible = true;
        return;
    }
    
    // 3. 可选：文件大小限制（示例为5MB）
    if (fuImage.PostedFile.ContentLength > 5 * 1024 * 1024)
    {
        lblError.Text = "上传文件大小不能超过5MB！";
        lblError.Visible = true;
        return;
    }
    
    // 4. 校验通过，执行上传逻辑
    try
    {
        // 用Guid生成唯一文件名，避免重复或恶意文件名
        string saveFileName = Guid.NewGuid() + extension;
        string savePath = Server.MapPath("~/Uploads/") + saveFileName;
        fuImage.SaveAs(savePath);
        
        lblError.Text = "文件上传成功！";
        lblError.ForeColor = System.Drawing.Color.Green;
        lblError.Visible = true;
    }
    catch (Exception ex)
    {
        lblError.Text = $"上传失败：{ex.Message}";
        lblError.Visible = true;
    }
}

额外注意事项 #

• 一定要重置文件流的位置：读取文件头后执行file.InputStream.Position = 0，否则后续保存文件会从当前流位置开始写，导致文件损坏。
• 权限设置：确保服务器上的Uploads文件夹有写入权限，否则保存会失败。
• 可选：可以结合MIME类型校验（检查fuImage.PostedFile.ContentType是否为image/jpeg），但这个也能被篡改，所以不能单独依赖，要和文件头校验配合。

内容的提问来源于stack exchange，提问作者Mohammad Daliri