内容摘要：ASP上传组件这玩意儿，十年前是每个搞Web开发的老兵都绕不过去的坎。我到现在还记得第一次用`ADODB.Stream`手搓上传逻辑时，被那个二进制读取的坑折磨到凌晨三点的场景。那时候没有`Reque

ASP上传组件这玩意儿，传组十年前是传组每个搞Web开发的老兵都绕不过去的坎。我到现在还记得第一次用`ADODB.Stream`手搓上传逻辑时，传组被那个二进制读取的传组坑折磨到凌晨三点的场景。那时候没有`Request.Files`这种好东西，传组所有文件都得靠`Request.BinaryRead`把原始字节抠出来，传组再自己拼MIME边界——写错一个换行符，传组整个文件就废了。传组 先别急着骂ASP老古董。传组在2005年那会儿，传组它能用``配合`enctype="multipart/form-data"`把文件塞进服务器，传组已经是传组当时最务实的方案了。核心思路其实不复杂：客户端把文件拆成一堆带分隔符的传组二进制块，服务端用`Request.TotalBytes`拿到总长度，传组再循环读出来按边界切割。传组但问题在于，ASP自带的`Request.Form`和`Request.QueryString`根本不解析文件部分，你只能自己写解析器。 我当时用的方案是借道第三方组件，比如`LyfUpload`或者`AspUpload`。这类组件的原理是封装了底层解析，暴露几个方法给你调。比如`Upload.Save("C:\uploads")`这行代码，背后干的活是：先读`Request.BinaryRead(Request.TotalBytes)`，然后用正则匹配`name="file1"`后面的`filename`属性，再按`Content-Type`判断文件类型，最后把数据流写到指定路径。听着简单，但组件内部处理大文件时内存溢出是常事——你要是传个200MB的视频，老版本组件直接给你抛个“内存不足”的错。 有个细节特别坑：组件解析文件名时，IE浏览器会把完整路径传过来，比如`C:\Users\张伟\Desktop\报告.doc`，而Firefox只传`报告.doc`。你要是没做`Split("\")`处理，存下来的文件名就是全路径——用户下载时看到一长串反斜杠，直接懵了。后来我干脆写个函数，不管传什么路径，一律取最后一个`\`或`/`后面的部分。 再说安全。ASP上传组件最臭名昭著的漏洞是允许上传`.asp`或`.asa`文件。黑客传个`shell.asp`上去，直接拿到服务器控制权。当时有个通用防护思路：检查扩展名白名单，但很多人图省事只挡了`.asp`，结果漏了`.asa`——那玩意儿在某些IIS配置下照样能执行脚本。更阴的是，有人把文件名改成`shell.asp;.jpg`，老组件解析时只认最后一个点后面的扩展名，直接放行。后来才有人想到用`Path.GetExtension()`这种只取最后一段的方法，但那时候已经一堆站点被打穿了。 现在回看，ASP上传组件就像一把没开刃的刀——能用，但得自己小心磨。你要是真要在老系统上维护这类代码，记住三条铁律：第一，永远别信任客户端传来的文件名，自己用GUID重命名；第二，限制上传大小，读`Request.TotalBytes`时超过10MB直接拒绝；第三，存文件的目录权限设成“禁止执行脚本”。做到这三点，至少能挡住九成野生攻击。 话说回来，现在.NET Core的`IFormFile`用起来确实舒服，但那种自己拼字节流、跟内存较劲的“手工感”，反而让人记得住HTTP协议到底是怎么回事。偶尔翻到旧项目里那段解析代码，还是会感慨——技术迭代快，但底层逻辑永远值得多琢磨几遍。