如何将AngularJS文件名参数传递给MVC文件下载Action

我明白你现在的困境：服务器端的MVC辅助方法（比如@Html.ActionLink）是在页面渲染前就生成好URL的，而AngularJS的变量是客户端渲染时才替换的，直接把{{file}}塞进服务器端生成的URL里肯定行不通，因为服务器根本不知道Angular的表达式语法。下面给你几个可行的解决方案，以及为什么之前的尝试失败了。

为什么之前的方法失败？ #

• 方法1和2：@Html.ActionLink是服务器端生成的，它会把{{file}}当成普通字符串处理，最终生成的URL参数是id=%7B%7Bfile%7D%7D（URL编码后的{{file}}），而不是你期望的实际文件名，所以MVC方法接收到的fileName要么是null要么是无效的字符串，自然会抛出异常。
• 方法3：虽然你解码了URL，但服务器生成的URL里的{{file}}还是静态字符串，AngularJS需要在客户端动态替换这个值，但这种写法下Angular无法正确解析嵌入在服务器端生成的URL里的表达式。

解决方案1：用查询字符串传递文件名（最简单） #

我们可以让服务器端生成不带参数的基础下载URL，然后在客户端用AngularJS动态拼接查询字符串参数：

视图代码： #

<a ng-href="@Url.Action("DownloadFile", "Home")?fileName={{file}}">Download File</a>

或者更规范一点，用ng-bind确保文本正确渲染：

<a ng-href="@Url.Action("DownloadFile", "Home")?fileName={{file}}" ng-bind="'Download File'"></a>

这样服务器端先生成基础URL（比如/Home/DownloadFile），AngularJS在客户端渲染时会把{{file}}替换成实际的文件名，最终生成正确的URL：/Home/DownloadFile?fileName=test.txt，MVC方法就能正确接收到fileName参数了。

解决方案2：用路由参数传递文件名（更美观的URL） #

如果你想让URL看起来像/Home/DownloadFile/test.txt这种形式，需要先修改MVC的路由配置，让它能识别fileName参数：

步骤1：修改RouteConfig.cs #

public class RouteConfig
{
    public static void RegisterRoutes(RouteCollection routes)
    {
        routes.IgnoreRoute("{resource}.axd/{*pathInfo}");

        // 添加下载专用路由
        routes.MapRoute(
            name: "DownloadFile",
            url: "{controller}/DownloadFile/{fileName}",
            defaults: new { controller = "Home", action = "DownloadFile", fileName = UrlParameter.Optional }
        );

        routes.MapRoute(
            name: "Default",
            url: "{controller}/{action}/{id}",
            defaults: new { controller = "Home", action = "Index", id = UrlParameter.Optional }
        );
    }
}

步骤2：视图代码 #

<a ng-href="@Url.Action("DownloadFile", "Home")/{{file}}">Download File</a>

这样AngularJS会把{{file}}替换成实际文件名，生成/Home/DownloadFile/test.txt，MVC路由会自动把test.txt映射到方法的fileName参数上。

关键安全提醒：必须验证文件名！ #

不管用哪种方法，绝对不能直接信任传入的文件名，否则会有路径遍历攻击的风险（比如用户传入../web.config就能下载你的配置文件）。一定要在MVC方法里做安全检查：

改进后的MVC方法： #

public ActionResult DownloadFile(string fileName)
{
    if (string.IsNullOrEmpty(fileName))
    {
        return new HttpStatusCodeResult(HttpStatusCode.BadRequest);
    }

    // 定义允许的文件目录
    var uploadDirectory = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "UploadedFiles");
    // 拼接完整路径，避免路径遍历
    var fullFilePath = Path.Combine(uploadDirectory, fileName);

    // 检查文件是否在允许的目录内（关键！）
    if (!fullFilePath.StartsWith(uploadDirectory, StringComparison.OrdinalIgnoreCase))
    {
        return new HttpStatusCodeResult(HttpStatusCode.Forbidden);
    }

    // 检查文件是否存在
    if (!System.IO.File.Exists(fullFilePath))
    {
        return HttpNotFound();
    }

    byte[] fileBytes = System.IO.File.ReadAllBytes(fullFilePath);
    return File(fileBytes, System.Net.Mime.MediaTypeNames.Application.Octet, fileName);
}

这段代码会确保用户只能下载UploadedFiles目录下的文件，防止恶意路径访问。

内容的提问来源于stack exchange，提问作者Vereonix