通过浏览器上传整个光盘

时间:2021-01-16 14:49:14

标签: security web upload applet

我是一名医生,正在为我的患者寻求解决方案。我经常从我的病人那里收到包含他们放射数据的医疗 CD。我需要的是一个可以与我的网站集成的网络解决方案。但需要注意的是,我不希望通过选择文件发生这种情况。我的大多数患者都是对互联网或计算机不太了解的老年人。因此,我希望在我的网站上有一个按钮,可以将整个 CD 复制到 CD 驱动器中并将其发送给我,而无需任何用户干预。可能吗?

更新:

好的谢谢大家。我无意打破版权问题。实际上,我认为点击该“按钮”的用户也会授予访问其文件的权限。我完全理解您的担忧,但我完全同意 - 作为最终用户 - 在我的情况下,这是需要解决方案的问题。在 COVID 之后,我的病人都不能来临床就诊,我需要看他们的随访。在神经外科中,这非常重要。我不知道在这里发送链接是否可以(如果不是,请抱歉),但例如,这个网站制作了与我的想法类似的东西,但它不是免费的,而且对于我的社会经济水平低的患者来说太复杂了轮廓。 我的目标人群主要处理脑肿瘤,因此他们对版权问题的关注程度很低。我并不是说没有他们的意愿就从他们那里拿走一切,但情况就是如此。所以再次感谢大家对我的启发,如果我违反了本网站的规则,我再次道歉。

2 个答案:

答案 0 :(得分:4)

正如 Andrew 提到的,此 SO 用于来自/向开发人员的问答。我会尽量让你大致了解可以做什么。

谁来做?

我认为您需要一些自由职业者来为您创建代码。 由于安全问题,您所描述的机制是不可能的。 如果没有用户,网页不应该像您希望的那样访问硬件 互动。

什么是可行的?

我认为可行的是由您的患者执行的应用程序(厚实的 .exe 文件),该应用程序将搜索 CD/DVD 驱动器,将其打包并通过安全通道将其发送到您的服务器。他们需要下载并执行它。

如果您有老年患者,您需要使用一些明确的消息从视觉上确认数据已发送。 类似于:感谢您将数据发送给 Dr. Jones。已收到所有数据。

安全通道可以是例如:ftpssftphttps 等。

在您这边,您将拥有一个守护进程,它将作为您患者数据的端点。收到数据后,应立即将其移至上传文件夹之外。

编辑

我想到的另一个选择是使用此类应用程序向您的患者分发定制的 USB 密钥,该应用程序将在插入时执行。

答案 1 :(得分:4)

简介

我将详细说明上述规范无法实现的原因,以及为什么不能使用可能允许此实现的旧技术的原因。

请注意,即使是较旧的技术,也需要用户的某种安装或同意——至少点击 1 次。

另请注意:可以从用户系统获取文件,但您仍然必须通过他们的操作或提示获得他们的同意!**

至于你能做什么? Tukan 已经涵盖了一些不错的替代方案,但如果我确实想到了什么,我会添加它!

基本说明

最基本的解释是,这将是一个前所未有的巨大安全漏洞。这意味着浏览器将允许网站在未经用户许可或用户主动操作的情况下访问用户计算机硬件 (DVD) 中的文件

在您的情况下,您确实对其进行了有效的非恶意用途。然而,想象一下所有使用这种机制从用户托盘中的 DVD/CD 中窃取内容的恶意网站。想象一下隐私问题、安全漏洞,甚至是版权问题等小问题。

最后,更糟糕的是,如果特定请求允许访问整个文件系统(包括所有驱动器,如 C:),恶意站点就可以窃取用户系统上的所有内容。

积极(和消极)是浏览器多年来被逐步锁定,技术/插件/扩展/功能已被逐步锁定,或被弃用/删除。此类技术包括:active Xjava appletsflash

最后,像 chrome 和 Internet Explorer 这样的浏览器现在都在沙箱中运行。例如,请参阅文章(这是 2013 年的!!):Sandboxes Explained: How They’re Already Protecting You and How to Sandbox Any Program

<块引用>

他们只能在您的浏览器中运行并访问一组有限的资源 - 未经许可他们无法查看您的网络摄像头读取您计算机的本地文件。如果您访问的网站没有经过沙盒处理并与系统的其余部分隔离,访问恶意网站就像安装病毒一样糟糕

您计算机上的其他程序也被沙盒化。例如, Google Chrome 和 Internet Explorer 本身都在沙箱中运行。 这些浏览器是在您的计算机上运行的程序,但它们不是 可以访问您的整个计算机。 它们以低权限运行 模式。即使网页发现了安全漏洞并进行了管理 要控制浏览器,它必须逃避 浏览器的沙箱造成真正的破坏。

Active X(已弃用)(Internet Explorer)

让我们先说 Active X 会要求用户更改他们的 Internet Explorer 安全设置,以便我们可以立即取消它。

如果用户确实更改了他们的设置(请参阅:Enable ActiveX controls in Internet Explorer)和 Enable for IE 11,开发者可以使用 active x to access files on a users system

另请注意 Active X 已被弃用,并且有传言称它可能不会存在很长时间。

Java 签名小程序

Java Signed Applets could access the local file system

但是,小程序在 firefox 和 chrome 中不再受支持。它们确实可以在 Internet Explorer 中运行,但 IE 也已弃用(因为人们正在迁移到 Edge)。

这里有一个关于这个主题的写得很好的答案:How do I run Java applets? [duplicate]Why is the Java plugin (JRE) disabled in Chrome?

Adobe Flash(以前的 Macromedia)

首先,Flash 已从大多数 Internet 浏览器中删除,并被正式视为已死。此外,在 Flash Player 10 之后,可以加载文件,但用户必须通过对话框自行选择(参见:Can Flash action script read and write local file system?)。

FileSystem 和 FileWriter API

您可以使用此 API 进行读写。但是,它再次要求用户与网页交互并自己选择文件。

参考文献