複数ファイルをアップロードする危険性について

ひろれいさんの書き込み (2006-03-13 17:19) より:
ASP.NET（VB）で開発しております。
上記ページでこのような処理は危険性を伴いますよ、という書き込みがあるのですが知識が乏しいため、どのように危険なのかがいまひとつ理解できません。メモリはSession変数さえ正しく解放すれば問題無い気がするのですが・・・

甕星さんの書き込み (2006-03-13 18:24) より:

その開放すると言うのが難物なのですよ。

SessionStateModule.Endイベントで作業ファイルを削除するつもりでしょうか？ですがSessionStateModule.EndはInProc(WEBサーバーのメモリ上にせっジョン情報を保持する)でしか使えません。システムのスケールアップの為にStateServerやSQLServerを使いたくなっても出来ない事になります。

SessionStateModule.Endが発生するのはタイムアウトが発生したときです。テンポラリファイルはタイムアウトが発生するまで数十分間保持されることになります。悪意あるユーザーが意図的に負荷をかけると、あっという間にテンポラリが溢れる事になるかもしれません。

色々と制限＆制約を加えたり、ASP.NET以外のプロセスと連携＆監視したりする事で回避できるかもしれませんが、面倒で泥臭いシステムになってしまうと思いますよ。

ひろれいさんの書き込み (2006-03-15 09:25) より:

セッションについてもよく分かっていないのですが、領域は動的に確保されるんですよね？
例えば、Session("TEST")=TextBox1　とした後に、Session("TEST")=""　としても、最初に確保した領域は減らないのでしょうか？
であれば、確かにアプリの作りによっては特定の利用者でも問題となり得てしまいますね。

ひろれいさんの書き込み（2006-03-15 09:25）より：

今回のシステムは特定できる１０数名の人が利用するシステムのため、そこまで考慮する必要はないかな、と考えています。
考えが甘いですか？（この辺がよく分からないもので・・・）

Jittaさんの書き込み (2006-03-15 21:12) より:

　甘いかどうかは、このさき“ひろれいさんが”関わるシステムの内容によります。
　今のシステムと同規模、同環境のシステムに“しか”関わらないのであれば、特に問題は無いと思います。
　この先、もっと大きな、違う環境のシステムに“も”関わるのであれば、今から他の方法を考えておいて、損はないでしょう。

　「以前作ったことがある」と思うと、真似をしようと思うのではないでしょうか。その時作ったものが使えないと、結構ハマりますよ。

> ＃無言のプレッシャーがこわい(^_^;)）
　そんなに深く考えることはないでしょう。
　ってか、本来 Web に時間はないですから。相手の時間にあわせるのが本来です。

甕星さんの書き込み (2006-03-17 00:24) より:

要は「Session("TEST")=""」って処理を何時どのタイミングで行う（行える）のかが問題なんですよ〜。