ASP.NET 中 iframe src 填寫本地路徑的安全風險與正確做法

錯誤示範

rst += "<iframe src='D:\\report.html' frameborder='0' height=350px width=100%></iframe>";

瀏覽器**安全策略禁止**網頁通過 file:// 協議加載本地文件，且服務端拼接的絕對路徑客戶端無法訪問。

正確方案

1. 將 report.html 放入 Web 應用目錄（如 /Reports/）。
2. 使用相對路徑或應用根路徑：src='/Reports/report.html' 或 src='~/Reports/report.html'（需服務端解析）。
3. 若文件需動態生成，通過 HttpHandler / Controller Action 返回 FileResult，iframe 指向該 URL。

安全補充

• 設置 X-Frame-Options: SAMEORIGIN 防止點擊劫持。
• 敏感報表需驗證用戶權限後再返回流。