2005.07.14

ファイルコントロールのセキュリティ

Webシステムでファイルアップロードの必要がある場合に
ファイルコントロール(<Input type="file"~>)を使用することと思います。

このファイルコントロールですが、クライアントがWindows XP Service Pack 2 以上の場合に
セキュリティ上の理由で、相対パスを指定すると無反応となります。

例えば...
1、C:\Temp\upload.txt(ファイルが存在する) ⇒ OK
2、C:\Temp\upload.txt(ファイルが存在しない) ⇒ OK
3、..\upload.txt ⇒ NG
4、Temp\upload.txt ⇒ NG
5、upload.txt ⇒ NG
6、ああああ ⇒ NG

この場合の無反応とは、フォームの送信そのものがされないため
サーバ側でファイルのチェックをするといった処理自体もできません。
それどころか、JavaScriptで form.submit というような記述をすると
JavaScriptエラーとなってしまいます。
そのため、.NETのAutoPostBack=Trueで自動的に作成されるJavaScriptも
見事にエラーを発してくれます。

ファイルのアップロード機能のあるシステムでは気をつけた方がよいかもしれません。

↓Microsoftのサポートオンラインにも情報がありますのでリンクしておきます。
http://support.microsoft.com/default.aspx?scid=kb;ja;890981

コメントを投稿

(いままで、ここでコメントしたことがないときは、コメントを表示する前にこのブログのオーナーの承認が必要になることがあります。承認されるまではコメントは表示されません。そのときはしばらく待ってください。)

photo
maeda