几乎所有ASP.NET富文本编辑器（如FCKeditor.Net、CKEditor等）的文件上传路径必须显式配置，不能依赖默认值；后端需校验并安全映射前端传入的路径参数，防止目录遍历，且物理目录须存在并赋予IIS写权限。
富文本编辑器的文件上传路径必须显式配置
几乎所有 ASP.NET 富文本编辑器（如 FCKeditor.Net_2.6.3、CKEditor 或自研控件）默认不自动创建上传目录，也不会按相对路径解析保存位置。如果你看到上传后报错 Access denied 或返回空响应，八成是路径没配对，而不是权限或编码问题。
常见错误现象：
- 点击“上传图片”后弹出空白弹窗或 404
- 控制台显示
Failed to load resource: the server responded with a status of 403 (Forbidden) - 上传成功但文件出现在
/App_Data/或根目录下，而非预期的/Uploads/Images/
实操建议：
- 检查编辑器初始化配置中类似
FileBrowserImageUploadUrl或uploadUrl的字段，它必须是完整可访问的 HTTP 路径（如/UploadHandler.ashx?path=Images），不能是物理路径（如C:\inetpub\wwwroot\MySite\Uploads\） - 确保后端处理程序（如
UploadHandler.ashx）明确接收并校验path参数，并用Server.MapPath转换为合法物理路径 - 在
web.config中确认该路径未被<location></location>或<authorization></authorization>规则拦截
ASP.NET 后端需校验并映射上传路径参数
前端传来的 path 参数不可信，直接拼接进 Server.MapPath 会引发目录遍历漏洞（如传入 path=../../web.config）。必须白名单校验。
立即学习“前端免费学习笔记（深入）”；
示例安全写法（C#）：
string inputPath = context.Request["path"] ?? "default";
string[] allowedPaths = { "Images", "Files", "Documents" };
if (!allowedPaths.Contains(inputPath))
throw new HttpException(400, "Invalid upload path");
<p>string physicalPath = context.Server.MapPath($"~/Uploads/{inputPath}/");
if (!Directory.Exists(physicalPath))
Directory.CreateDirectory(physicalPath);关键点：
- 永远不用
Server.MapPath("~/Uploads/" + inputPath)这种拼接方式 - 物理目录需提前存在或由代码创建，IIS 用户（如
IIS_IUSRS）必须有写权限 - 上传后的 URL 返回值应为相对路径（如
/Uploads/Images/abc.jpg），供编辑器插入 HTML 使用
EasyCHM 和 Markdown2Html 等工具不支持运行时路径配置
像 EasyCHM 或 Markdown2Html 这类离线转换工具，其“输出路径”是编译/导出动作的本地目标，和富文本编辑器的上传路径无关。它们没有服务器上下文，也不处理 HTTP 请求。
如果你在这些工具里看到“输出路径”设置项，它只影响：
-
EasyCHM最终生成的.chm文件保存位置 -
Markdown2Html命令行执行时用-o /path/to/output.html指定的本地文件路径 - 不会改变 HTML 中图片或链接的引用地址，那些仍需手动调整或通过模板变量控制
容易踩的坑：
- 误以为在
EasyCHM设置了“输出路径”就能让内部图片自动指向该路径——实际图片路径仍取决于你原始 HTML 中写的src属性 - 用
Markdown2Html批量转文档时，所有图片都硬编码在 Markdown 里，工具不会帮你重写成
路径配置生效前必须重启应用池或清空临时 ASP.NET 文件
ASP.NET 编译后的页面或处理程序（如 .ashx）会缓存在 %WINDOWS%\Microsoft.NET\Framework\v4.0.30319\Temporary ASP.NET Files\。改完配置或代码后如果行为没变，大概率是旧版本还在跑。
验证方法：
- 修改
UploadHandler.ashx，在开头加一行context.Response.Write("v2");，刷新上传页看是否输出 - 删掉对应站点的临时文件夹内容（不是整个 Temporary ASP.NET Files）
- 在 IIS 中“回收”对应的应用程序池
这个环节最容易被跳过，尤其在开发机上反复调试时——你以为改了，其实没生效。
