信创环境下.NET WebForm大附件安全传输方案

1. 项目背景与需求分析

在信创产业推进过程中，政务、金融等关键领域的信息系统正加速向国产化技术栈迁移。作为传统企业级应用开发的主力技术，.NET WebForm在信创环境下面临着与国产操作系统、中间件、数据库的深度适配挑战。其中，大附件安全传输这一基础功能模块的实现尤为棘手。

我们最近在某政务云平台项目中遇到了具体需求：需要开发一个支持GB级文件夹加密传输的Web控件，同时满足以下技术要求：

• 必须兼容统信UOS、银河麒麟等国产操作系统
• 需适配东方通等国产中间件
• 前端必须基于纯HTML/JS实现（禁用ActiveX等非标技术）
• 传输过程需实现国密SM4加密
• 需支持断点续传和完整性校验

2. 技术方案选型

2.1 整体架构设计

采用分层加密传输方案：

code复制[前端] --(分块加密)--> [Web API] --(二次加密)--> [文件存储]

关键组件选型：

1. 前端加密：使用Forge.js实现SM4算法
2. 分块传输：采用512KB固定分块大小
3. 进度控制：基于SessionStorage实现断点记录
4. 后端处理：通过HttpModule实现请求拦截和二次加密

注意：禁用ViewState存储传输状态，因其在大量数据时会导致性能问题

2.2 国密算法实现细节

SM4加密的核心参数配置：

javascript复制// 前端加密示例
const sm4 = forge.sm4;
const key = forge.random.getBytesSync(16); // 128bit密钥
const iv = forge.random.getBytesSync(16); 
const cipher = sm4.createEncryptionCipher(key);
cipher.start(iv);
cipher.update(forge.util.createBuffer(chunk));
cipher.finish();
const encrypted = cipher.output.getBytes();

后端解密时需特别注意：

• 国产中间件可能修改HTTP头大小写
• 银河麒麟系统默认栈大小需调整（通过ulimit -s 8192）

3. 核心实现步骤

3.1 前端控件开发

1. 文件选择器改造：

html复制<input type="file" webkitdirectory directory multiple 
       onchange="handleFolderSelect(this.files)">

2. 分块上传逻辑：

javascript复制function uploadChunk(file, chunkIndex) {
  const chunkSize = 512 * 1024;
  const offset = chunkIndex * chunkSize;
  const chunk = file.slice(offset, offset + chunkSize);
  
  // 加密处理
  const encrypted = sm4Encrypt(chunk);
  
  // 构造FormData
  const fd = new FormData();
  fd.append('file', new Blob([encrypted]));
  fd.append('chunk', chunkIndex);
  fd.append('total', Math.ceil(file.size / chunkSize));
  
  // 发送请求
  return fetch('/api/upload', { method: 'POST', body: fd });
}

3.2 服务端处理

创建自定义HttpModule处理文件流：

csharp复制public class EncryptModule : IHttpModule
{
    public void Init(HttpApplication context)
    {
        context.BeginRequest += (s, e) => {
            if(context.Request.Path.Contains("/api/upload"))
            {
                var stream = new SM4CryptoStream(
                    context.Request.InputStream,
                    ConfigurationManager.AppSettings["SM4_Key"],
                    CryptoStreamMode.Read);
                
                context.Request.InputStream = stream;
            }
        };
    }
}

文件合并时需注意：

• 中科方德数据库驱动对临时文件有特殊权限要求
• 统信UOS系统的/tmp目录需设置777权限

4. 性能优化技巧

4.1 内存管理方案

针对大文件处理的内存优化策略：

1. 前端：使用FileReader的readAsArrayBuffer方法
2. 后端：始终使用Stream处理，禁用Response.WriteFile
3. 配置优化：

xml复制<system.web>
  <httpRuntime maxRequestLength="2097152" 
               requestLengthDiskThreshold="8192"/>
</system.web>

4.2 国产化适配经验

1. 东方通中间件特殊配置：

properties复制# tongweb.conf
http.maxPostSize=2147483647
http.disableURLRewriting=true

2. 麒麟系统环境变量设置：

bash复制export LD_LIBRARY_PATH=/opt/nessusp/lib:$LD_LIBRARY_PATH

5. 安全增强措施

5.1 双重校验机制

1. 前端哈希校验：

javascript复制const hash = await crypto.subtle.digest('SHA-256', chunk);
fd.append('hash', arrayBufferToHex(hash));

2. 服务端验证：

csharp复制using (var sha = new SM3Managed())
{
    byte[] computedHash = sha.ComputeHash(decryptedStream);
    if(!computedHash.SequenceEqual(requestHash))
        throw new InvalidDataException();
}

5.2 日志审计方案

采用国产日志组件记录关键事件：

csharp复制NLog.Targets.TongWebTarget webTarget = new()
{
    Name = "tongweb",
    Layout = "${longdate}|${level}|${message}"
};

6. 实测性能数据

在以下环境进行压力测试：

• 服务器：华为Taishan 2280（鲲鹏920）
• 中间件：东方通TongWeb7.0
• 数据库：达梦DM8

测试结果：

7. 典型问题排查

1. 乱码问题：

• 现象：银河麒麟系统下载文件名乱码
• 解决方案：强制编码转换

csharp复制string fileName = HttpUtility.UrlEncode(
    originalName, 
    Encoding.GetEncoding("GB18030"));

2. 传输中断：

• 检查项：
  • 国产防火墙会话超时设置（默认300s）
  • Nginx的client_max_body_size配置
  • 中间件的keepalive_timeout参数

3. 加密失败：

• 常见原因：
  • 中科曙光服务器缺少熵池（安装haveged）
  • 密钥长度不符合国密标准

在实际部署中发现，某些国产化环境下的JavaScript性能差异可达40%，需要针对不同浏览器引擎做兼容处理。我们最终采用的解决方案是动态检测浏览器类型，对奇安信、红莲花等国产浏览器启用特定的优化策略