ASP.NET中使用FileUpload控件向SQL Server存储与读取文件

结果与目标

实现一个基础的ASP.NET功能模块：用户选择本地文件并点击“上传”，系统验证文件类型后，将文件内容转换为二进制数据存入SQL Server数据库表中，并记录文件的MIME类型。

准备条件

在进行编码前，需要完成以下环境准备：

• 开发环境：Visual Studio 2008或更高版本，支持ASP.NET Web应用程序项目。
• 数据库：SQL Server 2008及以上版本，具备创建数据库和表的权限。
• 依赖库：需引用 System.Data.SqlClient, System.Text 等命名空间。

数据库设计

为了简化演示，数据库中仅需两个核心字段：用于存储文件内容的二进制大对象（BLOB）和用于标识文件类型的字符串。

第1步：创建数据库

在SQL Server Management Studio中执行以下脚本，创建名为 VARFILE 的数据库：

CREATE DATABASE VARFILE;
GO

第2步：创建数据表

切换到 VARFILE 数据库，创建表 FileInOut。该表包含 FileType（文件MIME类型）和 FileContent（二进制文件内容）两列：

USE VARFILE;
GO
CREATE TABLE FileInOut (
    FileType nvarchar(30) NOT NULL,
    FileContent varbinary(max) NULL
);

前端页面构建

第3步：添加Web控件

在 Visual Studio 中新建一个 ASP.NET Web 网站或应用程序。打开 Default.aspx 页面，从工具箱拖入以下控件：

1. FileUpload：设置为 ID FileUpload1，用于用户选择本地文件。
2. Button：设置为 ID fileUp，Text 属性设为“上传文件”，用于触发上传逻辑。
3. Button：设置为 ID fileLoad，Text 属性设为“下载文件”（本教程重点在前端上传部分，下载逻辑可参照上传逆向实现）。

C# 后端实现

第4步：引入必要的命名空间

在 Default.aspx.cs 文件头部添加以下 using 引用，以支持数据库操作和文本编码：

using System.Data.SqlClient;
using System.Collections.Specialized; // 用于StringDictionary
using System.Text;

第5步：实现上传文件的事件处理

双击 “上传文件” 按钮生成 Click 事件处理方法 fileUp_Click。该逻辑包含文件非空校验、连接字符串配置、数据库清空（示例用途）、插入新记录及参数绑定：

重要提示：实际生产环境中，truncate table 会删除所有数据，仅建议在测试环境演示时使用。正式项目中应去除清空语句，改为直接 Insert。

protected void fileUp_Click(object sender, EventArgs e)
{
    // 1. 校验是否选择了文件
    if (string.IsNullOrEmpty(FileUpload1.FileName))
    {
        Response.Write("<script>alert('请选择要上传的文件');</script>");
        return;
    }

    // 2. 配置数据库连接字符串（请根据实际服务器修改Data Source）
    string connstr = "Data Source=.;Initial Catalog=VarFile;Integrated Security=True";
    
    // 3. 提取文件后缀名并转为小写
    string fileName = FileUpload1.FileName;
    string extension = fileName.Substring(fileName.LastIndexOf(".")).ToLower();

    // 4. 检查文件类型是否允许上传
    if (CheckFileType(extension))
    {
        string contentType = GetContentType(extension);
        
        // 定义SQL插入语句，使用参数防止SQL注入
        string sqlInsert = "INSERT INTO FileInOut VALUES(@FileType, @FileContent)";
        
        // 注意：此处演示用Truncate清空表，生产环境请注释掉此行
        string sqlClear = "TRUNCATE TABLE FileInOut";

        using (SqlConnection con = new SqlConnection(connstr))
        {
            con.Open();

            // 先执行清空（仅限演示）
            SqlCommand cmdClear = new SqlCommand(sqlClear, con);
            cmdClear.ExecuteNonQuery();

            // 配置插入命令
            SqlCommand cmdInsert = new SqlCommand(sqlInsert, con);
            
            // 添加参数：FileType
            cmdInsert.Parameters.Add(new SqlParameter("@FileType", SqlDbType.NVarChar, 30)).Value = contentType;
            
            // 添加参数：FileContent，直接绑定FileBytes属性获取的字节数组
            cmdInsert.Parameters.Add(new SqlParameter("@FileContent", SqlDbType.VarBinary)).Value = FileUpload1.FileBytes;

            // 执行插入
            cmdInsert.ExecuteNonQuery();
            
            Response.Write("<script>alert('文件上传成功');</script>");
        }
    }
}

第6步：辅助函数 - 文件类型校验与MIME映射

为了实现自动识别文件的 Content Type，我们需要维护一个扩展名到 MIME 类型的映射字典。以下是两个静态公共方法：

CheckFileType：判断上传的文件后缀是否在允许的列表中。

public static bool CheckFileType(string type)
{
    StringDictionary sd = new StringDictionary();
    sd.Add(".doc", "application/msword");
    sd.Add(".ppt", "application/vnd.ms-powerpoint");
    sd.Add(".xls", "application/vnd.ms-excel"); // 修正原文xsl为xls
    sd.Add(".rtf", "application/msword");
    sd.Add(".html", "text/html");
    sd.Add(".htm", "text/html");
    sd.Add(".txt", "text/plain");
    sd.Add(".pdf", "application/pdf");
    
    // 移除点号进行匹配
    string key = type.StartsWith(".") ? type : "." + type;
    return sd.ContainsKey(key);
}

GetContentType：根据后缀名返回对应的 MIME 字符串，供存入数据库使用。

public static string GetContentType(string extension)
{
    StringDictionary sd = new StringDictionary();
    sd.Add(".doc", "application/msword");
    sd.Add(".ppt", "application/vnd.ms-powerpoint");
    sd.Add(".xls", "application/vnd.ms-excel"); // 修正原文xsl为xls
    sd.Add(".rtf", "application/msword");
    sd.Add(".html", "text/html");
    sd.Add(".htm", "text/html");
    sd.Add(".txt", "text/plain");
    sd.Add(".pdf", "application/pdf");
    
    string key = extension.StartsWith(".") ? extension : "." + extension;
    
    if (sd.ContainsKey(key))
        return sd[key];
    return "application/octet-stream"; // 默认二进制流类型
}

完成判断

部署运行程序后，选择一个 PDF 或其他指定类型的文件，点击“上传文件”。若 JavaScript 弹窗显示“文件上传成功”，则可通过数据库管理工具查看 VARFILE 数据库下的 FileInOut 表，确认 FileContent 字段中存在二进制数据，且 FileType 字段正确记录了如 application/pdf 等内容。

简要总结

通过 FileUpload.FileBytes 属性，ASP.NET 可以轻松地获取客户端上传文件的原始字节流。结合 SqlParameter 进行参数化查询，不仅能高效地将文件存入 SQL Server 的 varbinary(max) 字段，还能有效防止 SQL 注入攻击。关键在于预先定义好文件扩展名与 MIME Type 的映射关系，以便后续下载时能恢复正确的浏览器显示行为。