Verwendung von content-disposition in einer HTTP-Antwortkopfzeile

Question

Ich habe festgestellt, dass der folgende asp.net-Code sehr nützlich ist, wenn Dateien aus einer Datenbank bereitgestellt werden:

Response.AppendHeader("content-disposition", "attachment; filename=" + fileName);

Dadurch kann der Benutzer die Datei auf seinem Computer speichern und dann entscheiden, wie er sie verwenden möchte, anstatt dass der Browser versucht, die Datei zu verwenden.

Was kann man sonst noch mit dem Antwort-Header content-disposition machen?

Answer 1

Beachten Sie, dass RFC 6266 ersetzt die unten genannten RFCs. Abschnitt 7 umreißt einige der damit verbundenen Sicherheitsbedenken.

Die Autorität des content-disposition-Headers ist RFC 1806 y RFC 2183. Die Menschen haben auch erfunden Content-Disposition-Hacking. Es ist wichtig zu beachten, dass der content-disposition header nicht Teil des HTTP 1.1 Standards ist.

Der HTTP 1.1 Standard ( RFC 2616 ) werden auch die möglichen sicherheitsrelevanten Nebeneffekte der Inhaltsdisposition erwähnt:

15.5 Fragen der Inhaltsverfügung

RFC 1806 [35], aus dem die oft implementierte Content-Disposition
(siehe Abschnitt 19.5.1) Header in HTTP ist abgeleitet, hat eine Reihe von sehr
ernsthafte Sicherheitsüberlegungen. Content-Disposition ist nicht Teil von
den HTTP-Standard, aber da es sich weitgehend implementiert ist, sind wir
Dokumentation der Verwendung und der Risiken für Implementierer. Siehe RFC 2183 [49]
(der RFC 1806 aktualisiert) für Details.

Answer 2

Es scheint, dass der Content-Disposition-Header ursprünglich für E-Mails und nicht für das Internet entwickelt wurde. ( Link zum entsprechenden RFC .)

Ich gehe davon aus, dass Webbrowser auf

Response.AppendHeader("content-disposition", "inline; filename=" + fileName);

beim Speichern, aber ich bin mir nicht sicher.

Answer 3

Siehe RFC 6266 (Verwendung des Content-Disposition-Header-Feldes im Hypertext Transfer Protocol (HTTP)) https://www.rfc-editor.org/rfc/rfc6266

Answer 4

Für asp.net-Benutzer bietet das .NET-Framework eine Klasse zur Erstellung eines Inhaltsverteilungsheaders: System.Net.Mime.ContentDisposition

Grundlegende Verwendung:

var cd = new System.Net.Mime.ContentDisposition();
cd.FileName = "myFile.txt";
cd.ModificationDate = DateTime.UtcNow;
cd.Size = 100;
Response.AppendHeader("content-disposition", cd.ToString());

Answer 5

Diese Kopfzeile ist definiert in RFC 2183 Das ist also der beste Ort, um mit der Lektüre zu beginnen.

Zulässige Werte sind die bei der Internet Assigned Numbers Authority (IANA) registrierten Werte; ihre Werteregister sollte als die maßgebliche Quelle betrachtet werden.