您可能没意识到，但对于可以使用该技术上载的文件的大小存在限制。默认情况下，使用 FileUpload 控件上载到服务器的文件最大为 4MB 左右。不能上载超过该限制的任何内容。

然 而，关于 .NET 的重要一点是，它通常会提供一种规避限制的方法。您通常可以更改正在使用的默认设置。要更改大小限制，可以在 web.config.comments 文件（可以在 C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\CONFIG 的 ASP.NET 2.0 配置文件夹中找到）或应用程序的 web.config 文件中进行一些改动。

在 web.config.comments 文件中，查找一个名为 <executionTimeout>的节点，如下所示：

<httpRuntime executionTimeout="110" maxRequestLength="4096" requestLengthDiskThreshold="80" useFullyQualifiedRedirectUrl="false" minFreeThreads="8" minLocalRequestFreeThreads="4" appRequestQueueLimit="5000" enableKernelOutputCache="true" enableVersionHeader="true" requireRootedSaveASPath="true" enable="true" shutdownTimeout="90" delayNotificationTimeout="5" waitChangeNotification="0" maxWaitChangeNotification="0" enableHeaderChecking="true" sendCacheControlHeader="true" apartmentThreading="false" />

在这个节点上进行了许多操作，但负责上载文件大小的设置是 maxRequestLength 属性。默认情况下，该属性设置为 4096 千字节 (KB)。只需更改此值，就可以增加可上载到服务器的文件大小。如果想要允许将 10 兆字节 (MB) 的文件上载到服务器，则将 maxRequestLength 值设置为 11264，这意味着该应用程序允许将最大为 11000 KB 的文件上载到服务器。

在 web.config.comments 文件中进行此改动会将该设置应用于服务器上的所有应用程序。如果要将该设置仅应用于正在使用的应用程序，则将该节点应用于应用程序的 web.config 文件，覆盖 web.config.comments 文件中的所有设置。请确保该节点位于配置文件中的 <system.web> 节点之间。

与上载文件大小限制有关的另一个设置是赋给 <httpRuntime> 节点中 executionTimeout 属性的值。

赋给 executionTimeout 属性的值是 ASP.NET 关闭前允许发生的上载秒数。如果要允许将更大的文件上载到服务器，则还要增加该值和 maxRequestLength 值。

增加可上载文件大小的一个缺点是，存在通过发出大量请求来攻击服务器的黑客。要避免这种情况，可以减小允许上载的文件大小；否则，可能会发现数百个甚至上千个 10 MB 的请求访问您的服务器。

客户端验证允许上载的文件类型

有几种方法可以用来控制上载到服务器的文件类型。遗憾的是，没有一种十全十美的方法可以防御其他人上载恶意的文件。然而，您可以采取一些步骤，以使这个允许最终用户上载文件的过程更易于管理。

一个可用的好方法是使用 ASP.NET 免费提供的 ASP.NET 验证控件。这些控件使您可以对正在上载的文件进行正则表达式检查，看看文件的扩展名是否在允许上载的扩展名之列。

因为该方法强制在客户端进行检查，所以对于允许在客户端使用验证控件的浏览器而言，这是一个理想的选择；如果签名不是您允许的签名，则该文件不能上载到服务器。清单 3 显示一个使用验证控件完成该任务的示例。

注 此处不介绍验证控件的用法。有关验证控件的完整解释以及如何在 ASP.NET 页中使用它们，请参阅 Validating ASP.NET Server Controls。

清单 3. 使用验证控件限制上载到服务器的文件类型

<ASP:FileUpload ID="FileUpload1" runat="server" /><br /><br /><ASP:Button ID="Button1" runat="server" OnClick="Button1_Click" Text="Upload File" /> <br /><br /><ASP:Label ID="Label1" runat="server"></ASP:Label><ASP:RegularExpressionValidator ></ASP:RequiredFieldValidator>

这个简单的 ASP.NET 页使用验证控件，这样最终用户就只能将 .mp3、.mpeg 或 .m3u 文件上载到服务器。如果文件类型不是以上可选的文件类型，则 Validation 控件向屏幕抛出一个异常。如图 4 所示。