使用 .NET Core 从 PDF 文档中删除 Javascript

Question

我有从外部来源发送的 PDF，我希望用户能够通过 Web 服务查看。

PDF 是通过 .NET Core 服务检索的，该服务从数据库中获取它们并将它们输出为 PDF 文件。

问题在于恶意用户可以将 JS 放入 PDF 中。因为它们对浏览器来说似乎来自同一来源，所以 JS 可以对应用程序的其余部分执行 XSS 攻击。

我不需要保留任何 JS 功能，但我也希望尽可能多地保持 PDF 不变。

有没有办法使用 .NET Core 将 JS 从 PDF 中剥离出来并保持不变？

另外有什么方法可以指定在打开网页中嵌入的 PDF 文件时不执行任何 JS（例如使用<iframe src="file.pdf" 或<object type="application/pdf" data="file.pdf"）。我不能依赖拥有额外 PDF 扩展名的用户，它需要使用 vanilla 浏览器。

Answer 1

要从 PDF 中删除所有 Javascript，您可以从删除所有共享 JavaScript 开始。这是一个特殊的文档级脚本集合。它通常用于定义可用于文档中其他脚本的 JavaScript 函数。

然后您可以找到文档中的所有操作并检查每个操作的类型。对于 Javascript 操作，您可以将关联代码替换为空字符串。

这项任务绝对不是一件容易的事。我建议您为此使用 PDF 库。

我的公司开发了Docotic.Pdf library，可以在 .NET Standard / .NET Core 中使用，可以帮助您完成任务。

Answer 2

以下代码显示了如何使用XFINIUM.PDF 库从 PDF 文件中删除 JavaScript 代码：

public void RemoveDocumentJavascript(Stream inputStream, Stream outputStream)
{
    PdfFixedDocument doc = new PdfFixedDocument(inputStream);
    // Remove document level JS code
    doc.JavaScriptBlocks.Clear();

    RemoveDocumentActions(doc);

    // Remove JavaScript from annotations.
    for (int i = 0; i < doc.Pages.Count; i++)
    {
        for (int j = 0; j < doc.Pages[i].Annotations.Count; j++)
        {
            RemoveAnnotationActions(doc.Pages[i].Annotations[j]);
        }
    }

    // Remove Javascript from fields
    for (int i = 0; i < doc.Form.Fields.Count; i++)
    {
        RemoveFieldActions(doc.Form.Fields[i]);
    }

    doc.Save(outputStream);
}

private void RemoveDocumentActions(PdfFixedDocument doc)
{
    if (doc.OpenAction is PdfJavaScriptAction)
    {
        doc.OpenAction = null;
    }
    if (doc.BeforeCloseAction is PdfJavaScriptAction)
    {
        doc.BeforeCloseAction = null;
    }
    if (doc.BeforeSaveAction is PdfJavaScriptAction)
    {
        doc.BeforeSaveAction = null;
    }
    if (doc.AfterSaveAction is PdfJavaScriptAction)
    {
        doc.AfterSaveAction = null;
    }
    if (doc.BeforeSaveAction is PdfJavaScriptAction)
    {
        doc.BeforeSaveAction = null;
    }
    if (doc.AfterSaveAction is PdfJavaScriptAction)
    {
        doc.AfterSaveAction = null;
    }
    if (doc.BeforePrintAction is PdfJavaScriptAction)
    {
        doc.BeforePrintAction = null;
    }
    if (doc.AfterPrintAction is PdfJavaScriptAction)
    {
        doc.AfterPrintAction = null;
    }
}

private void RemoveAnnotationActions(PdfAnnotation annotation)
{
    if (annotation.PageOpen is PdfJavaScriptAction)
    {
        annotation.PageOpen = null;
    }
    if (annotation.PageClose is PdfJavaScriptAction)
    {
        annotation.PageClose = null;
    }
    if (annotation.PageVisible is PdfJavaScriptAction)
    {
        annotation.PageVisible = null;
    }
    if (annotation.PageInvisible is PdfJavaScriptAction)
    {
        annotation.PageInvisible = null;
    }
    if (annotation.MouseDown is PdfJavaScriptAction)
    {
        annotation.MouseDown = null;
    }
    if (annotation.MouseUp is PdfJavaScriptAction)
    {
        annotation.MouseUp = null;
    }
    if (annotation.MouseEnter is PdfJavaScriptAction)
    {
        annotation.MouseEnter = null;
    }
    if (annotation.MouseLeave is PdfJavaScriptAction)
    {
        annotation.MouseLeave = null;
    }
    PdfLinkAnnotation link = annotation as PdfLinkAnnotation;
    if ((link != null) && (link.Action is PdfJavaScriptAction))
    {
        link.Action = null;
    }
}

private void RemoveFieldActions(PdfField field)
{
    field.CalculateAction = null;
    field.FormatAction = null;
    field.KeyPressAction = null;
    field.ValidateAction = null;

    for (int i = 0; i < field.Widgets.Count; i++)
    {
        if (field.Widgets[i].Focus is PdfJavaScriptAction)
        {
            field.Widgets[i].Focus = null;
        }
        if (field.Widgets[i].Blur is PdfJavaScriptAction)
        {
            field.Widgets[i].Blur = null;
        }
    }
}

该库支持 .NET Core，可在 nuget.org 上获得（ID：xfinium.pdf.netcore）。
除非您实现自己的 PDF 解析和保存代码，否则不使用 3rd 方库就无法实现此任务。

免责声明：我为开发 XFINIUM.PDF 库的公司工作。