文件下载不使用ESAPI库

Question

我正在使用 ESAPI 下载文件（由于安全原因，仅接受 ESAPI）。所以请找到我的下面的代码。

response.setContentType("application/msexcel");

ESAPI.httpUtilities().addHeader(response, "Content-Disposition", "attachment; filename=testfile.xls");

当我单击下载时，下载的文件带有正确的内容，但文件扩展名和文件名不可接受。

示例：当我单击以下网址时：http://localhost:8080/searchTest

预期 根据上述情况的文件名：testfile .xls

下载时的实际文件名是：searchTest
（其中“searchTest”是网址）

有人可以帮助我如何在 ESAPI 中传递文件名和扩展名吗？

预先感谢，
哈利

Answer 1

我还没有真正看过这么多，它可能没有任何区别（至少如果您使用 Microsoft 浏览器来测试这一点），但我正确的 HTTP 响应标头值 Content-Type 用于下载 .xls Excel 文件的是“application/vnd.ms-excel”，而不是“application/msexcel”。所以，我会先尝试一下，以防万一。 [有关 .xlsx 格式的更多详细信息，请参阅 https://developer.mozilla.org/en-US/docs/Web/HTTP/Basics_of_HTTP/MIME_types/Common_types。]

其次，您能否确认确实是 ESAPI 导致了此问题通过更改代码来尝试不使用 ESAPI；例如，

response.addHeader("Content-Disposition", "attachment; filename=testfile.xls");

并重新测试它。 （从技术上讲，由于 Content-Disposition 标头中没有受污染的输入，因此对于这种特殊情况，您确实不需要 ESAPI，尽管如果您接受用户提供的文件名。）如果没有 ESAPI 仍然无法工作，您至少知道不是 ESAPI 造成的，这是值得的。如果是 ESAPI 导致的，同样如此。

最后，我要检查的另一件事是确保您没有多个 Content-Type 或 Content-Disposition 响应标头返回到用户的浏览器。您可以通过拦截代理（例如 OWASP ZAP 或 Portswigger 的 Burp Suite）或使用浏览器的内置开发工具（例如 Chrome 中的 F12；不确定 Firefox 的快捷方式是什么）来检查这一点。如果存在多个具有不同值的 Content-Type 标头或 Content-Disposition 标头，也可能会导致您所观察到的情况。

无论如何，请告诉我们您的发现，我们可以尝试为您提供进一步的帮助。