Static file authorization

[tj.jackel]

Beste Tweakers,

Voor een ASP.net software programma kan een gebruiker inloggen op een website. Hierbij wordt gebruik gemaakt van het standaard ASP.net inlog systeem.
Op deze website is het mogelijk om een file te uploaden.
Deze file krijgt een gehashte naam in een map met een gehaste naam. Deze mappen staan weer in een uploadfile map in de www/root.

Zover ik weet is het bestand te benaderen zonder in te loggen als je het bestandspad weet (dus gehahste bestandsnaam en map naam).
De eerste vraag:
- Klopt dit?

Nu is de kans dat je deze gehaste namen raad klein maar het zou mooier zijn als de uploadfile map ook achter het inlogscherm zit. Stel dat je dan het pad naar het bestand weet dat je toch op het inlogscherm terechtkomt.

Bij het zoeken naar een oplossing hiervoor kwam de term Static file autorization voorbij:
https://learn.microsoft.c...files?view=aspnetcore-7.0
De toelichting staat halverwege de webpagina.

- Is deze techniek geschikt om het bovenstaande te realiseren?

Indien dit het geval is:
- Op de website wordt gesproken over dat je de files moet plaatsen in een map buiten de www/root. Is het ook mogelijk om dezelfde functionaliteit te krijgen maar dat met de upload map in de www/root?
Indien dit niet mogelijk is, wat is de oorzaak hiervan?

Ik heb de uitleg gelezen maar probeer met de bovenstaande vragen een een beeld te vormen of Static file autorization de goede richting is.

Alvast bedankt!

[foxgamer2019]

Het is inderdaad niet aan te raden om bestanden te uploaden in de public map, ook al hebben deze een hash.
Verder is het hashen ook niet zo handig, want je hebt geen enkel idee wat het voor een bestand is.

Ik heb helaas geen ASP.net kennis om je verder te helpen, maar normaal gebruik je een publieke controller die het bestand ophaalt uit een andere (niet public) map.

[Eric Z]

Of het klopt kan je zelf eenvoudig uitproberen, kopieer een url en open ook een prive venster van je browser. Daarin de url plakken en kijken wat er dan gebeurt.

Verder mist er wel wat informatie. Zo link je naar iets van asp.net core, maar is dat ook waar je gebruik van maakt? Als het al wat ouder is kan het ook in “.NET framework” gemaakt zijn. Dan is de documentatie waar je naar linkt niet van toepassing.

[Voor 10% gewijzigd door Eric Z op 11-01-2023 00:33]

[tj.jackel]

foxgamer2019 schreef op dinsdag 10 januari 2023 @ 21:19:
Het is inderdaad niet aan te raden om bestanden te uploaden in de public map, ook al hebben deze een hash.
Verder is het hashen ook niet zo handig, want je hebt geen enkel idee wat het voor een bestand is.

Ik heb helaas geen ASP.net kennis om je verder te helpen, maar normaal gebruik je een publieke controller die het bestand ophaalt uit een andere (niet public) map.

Bedankt voor de reactie. Heeft u een voorbeeld van een publieke controller? Of een specifieke zoekterm hiervoor?

[tj.jackel]

Eric Z schreef op woensdag 11 januari 2023 @ 00:30:
Of het klopt kan je zelf eenvoudig uitproberen, kopieer een url en open ook een prive venster van je browser. Daarin de url plakken en kijken wat er dan gebeurt.

Verder mist er wel wat informatie. Zo link je naar iets van asp.net core, maar is dat ook waar je gebruik van maakt? Als het al wat ouder is kan het ook in “.NET framework” gemaakt zijn. Dan is de documentatie waar je naar linkt niet van toepassing.

Het is gemaakt in een .NET 6.0 framework en geschreven in Visual Studio.

[Damic]

@tj.jackel .Net 6.0 is geen framework maar een core versie, deze verschilt van de framework versie.
.NET framework zit op v4.8.x

Ik weet dat in php je een temp naam en de echte naam krijgt als je een bestand upload en de temp staat ergens waar je als eind gebruiker (de website gebruiker) niet aankunt. Dan moet je zelf zien wat je met het bestand doet.

Juist even opgezocht en asp.net core heeft die functie ook. Je bestand word geüpload naar een temp folder en je moet die dan zelf verzetten (als ik snel diagonaal heb gelezen). https://learn.microsoft.c...loads?view=aspnetcore-6.0

[Voor 4% gewijzigd door Damic op 11-01-2023 19:58]

[farlane]

Damic schreef op woensdag 11 januari 2023 @ 19:57:
@tj.jackel .Net 6.0 is geen framework maar een core versie, deze verschilt van de framework versie.
.NET framework zit op v4.8.x

.NET 6 is alles van de hele wereld, inclusief ASP.NET (Core)

[Damic]

@farlane kan best zijn maar en programma in framework werkt niet in de core versie zonder aanpassingen, heb ik gemerkt. Is zo van alle waarom werkt dit nu niet, wacht welke versie heb ik genomen ha shit core en niet framework

[Haan]

@Damic je kunt er gerust van uit gaan dat de TS 'framework' gewoon letterlijk bedoelt, als in een framework waarmee je werkt.

[farlane]

Damic schreef op woensdag 11 januari 2023 @ 20:22:
@farlane kan best zijn maar en programma in framework werkt niet in de core versie zonder aanpassingen, heb ik gemerkt. Is zo van alle waarom werkt dit nu niet, wacht welke versie heb ik genomen ha shit core en niet framework

Microsoft maakt een potje van z'n versies en namen, maar in principe bestaat het ".NET framework" niet meer in .NET 5+

[sig69]

Als je de bestanden binnen je applicatie wil houden: upload de bestanden naar de App_Data map, die is niet publiekelijk toegankelijk.

[Voor 25% gewijzigd door sig69 op 12-01-2023 01:09]

[tj.jackel]

sig69 schreef op woensdag 11 januari 2023 @ 20:38:
Als je de bestanden binnen je applicatie wil houden: upload de bestanden naar de App_Data map, die is niet publiekelijk toegankelijk.

Bedankt voor uw reacties. Is het bestand benaderbaar nadat de gebruiker is ingelogd als gebruik wordt gemaakt van de App_Data map?

[Zenomyscus]

Je kunt vervolgens een controler maken die op basis van de URL de inhoud van de file doorgeeft en de juiste mime type zet. Je roept dus eigenlijk een pagina aan ipv een bestand. Doordat je een pagina aanroept kun je controleren of een gebruiker is ingelogd. Zo ja, dan geef je de inhoud van die file terug.

[sig69]

tj.jackel schreef op donderdag 12 januari 2023 @ 08:01:
[...]


Bedankt voor uw reacties. Is het bestand benaderbaar nadat de gebruiker is ingelogd als gebruik wordt gemaakt van de App_Data map?

Nee, daar zal je zelf iets voor moeten maken.

[Haan]

sig69 schreef op donderdag 12 januari 2023 @ 10:58:
[...]

Nee, daar zal je zelf iets voor moeten maken.

Gewoon wat @Zenomyscus beschrijft, dat is de meest gebruikelijke manier. Voordeel is dat je dan ook makkelijk kunt overschakelen naar bijvoorbeeld een database of ander soort van storage.