将文件存储为数据库中的字节数组,是否存在安全风险?

我们有一个允许用户上传文件的ASP.NET应用程序,这些文件保存到临时磁盘位置,然后附加到一个记录并保存在数据库中。

我的问题与安全和/或病毒问题有关。这种方法有安全漏洞吗?如果病毒从未执行(文件保存,然后使用文件流打开,转换为字节数组并保存到数据库),它会造成危害。

稍后,当需要该文件时,我们将该文件流回到用户。

文件保存到Web服务器上的文件夹中,如下所示:

context.Request.Files[0].SaveAs(); (位置是app_data/files下的文件夹)

稍后,当同一个用户创建一个记录时,我们从磁盘中获取该文件并将其存储在数据库中,如下所示:

FileStream fileStream = File.OpenRead(currentFilePath);
byte[] ba = new byte[fileStream.Length];
int len = fileStream.Read(ba, 0, ba.Length);
//ba saved to DB here as varbinary(max)

我们限制可以上载到此列表的文件:

List<string> supportedExtensions = new List<string>(10) {".txt", ".xls", ".xlsx", ".doc", ".docx", ".eps", ".jpg", ".jpeg", ".gif", ".png", ".bmp", ".rar", ".zip", ".rtf", ".csv", ".psd", ".pdf" };

文件将以如下方式流回到用户的Web浏览器:

//emA = entity object loaded from DB
context.Response.AppendHeader("Content-Disposition", "inline; filename=\"" + emA.FileName + "\"");

context.Response.AddHeader("Content-Type", emA.ContentType);
context.Response.BinaryWrite(emA.FileContent);