wkhtmltopdf vs IronPDF：技術比較指南

CVE-2022-35583 安全危機

wkhtmltopdf 中的伺服器端請求偽造 (SSRF) 漏洞允許攻擊者：

-存取內部服務：存取防火牆後的內部 API、資料庫和服務 -竊取憑證：存取雲端元資料端點（AWS、GCP、Azure）以竊取 IAM 憑證 -連接埠掃描：從基礎設施內部掃描內部網絡 資料外洩：透過精心設計的 HTML/CSS 程式碼提取敏感資料

攻擊途徑很簡單—向 PDF 生成器提交惡意 HTML 程式碼：

<iframe src="http://169.254.169.254/latest/meta-data/iam/security-credentials/"></iframe>
<img src="http://internal-database:5432/admin"/>

<iframe src="http://169.254.169.254/latest/meta-data/iam/security-credentials/"></iframe>
<img src="http://internal-database:5432/admin"/>

當 wkh​​tmltopdf 渲染此 HTML 時，它會從伺服器的網路上下文中取得這些 URL，從而繞過防火牆和安全控制。 由於該項目已被正式放棄，因此漏洞永遠不會修復。

受影響的包裝庫

所有用於 wkhtmltopdf 的.NET封裝庫都存在相同的漏洞：

如果您的應用程式使用這些庫中的任何一個，則它容易受到 CVE-2022-35583 的攻擊。

wkhtmltopdf 設定模式

wkhtmltopdf 封裝器需要建立具有巢狀設定配置的文件物件：

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation = Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    HtmlContent = "<h1>Hello World</h1><p>This is a PDF from HTML.</p>"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("output.pdf", pdf);
    }
}

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation = Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    HtmlContent = "<h1>Hello World</h1><p>This is a PDF from HTML.</p>"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("output.pdf", pdf);
    }
}

此模式需要建立 SynchronizedConverter 和 PdfTools，建構 HtmlToPdfDocument 和 GlobalSettings 和 Objects 集合，並手動寫入檔案數組數。

IronPDF簡化版

IronPDF使用精簡的方法，並結合了 ChromePdfRenderer 類別：

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderHtmlAsPdf("<h1>Hello World</h1><p>This is a PDF from HTML.</p>");
        pdf.SaveAs("output.pdf");
    }
}

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderHtmlAsPdf("<h1>Hello World</h1><p>This is a PDF from HTML.</p>");
        pdf.SaveAs("output.pdf");
    }
}

ChromePdfRenderer類別消除了嵌套的配置對象，返回一個帶有內建保存方法的 PdfDocument。 有關 HTML 轉換的全面指南，請參閱HTML 轉 PDF 教學。

wkhtmltopdf 實現

wkhtmltopdf 使用 Page 屬性(位於 ObjectSettings 中)來指定 URL：

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation = Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "https://www.example.com"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("webpage.pdf", pdf);
    }
}

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation = Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "https://www.example.com"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("webpage.pdf", pdf);
    }
}

IronPDF實現

IronPDF提供了一個專用的 RenderUrlAsPdf 方法：

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderUrlAsPdf("https://www.example.com");
        pdf.SaveAs("webpage.pdf");
    }
}

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderUrlAsPdf("https://www.example.com");
        pdf.SaveAs("webpage.pdf");
    }
}

RenderUrlAsPdf 方法利用 Chromium 引擎渲染頁面，實現完整的JavaScript執行和現代 CSS 支援——這是 wkhtmltopdf 的 2015 WebKit 引擎所無法實現的功能。

wkhtmltopdf 自訂設定

wkhtmltopdf 需要嵌套的 GlobalSettings 和 MarginSettings 物件：

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation = Orientation.Landscape,
                PaperSize = PaperKind.A4,
                Margins = new MarginSettings() { Top = 10, Bottom = 10, Left = 10, Right = 10 }
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "input.html",
                    WebSettings = { DefaultEncoding = "utf-8" }
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("custom-output.pdf", pdf);
    }
}

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation = Orientation.Landscape,
                PaperSize = PaperKind.A4,
                Margins = new MarginSettings() { Top = 10, Bottom = 10, Left = 10, Right = 10 }
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "input.html",
                    WebSettings = { DefaultEncoding = "utf-8" }
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("custom-output.pdf", pdf);
    }
}

IronPDF自訂設定

IronPDF使用 RenderingOptions 屬性直接配置：

// NuGet: Install-Package IronPdf
using IronPdf;
using IronPdf.Rendering;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        renderer.RenderingOptions.PaperOrientation = PdfPaperOrientation.Landscape;
        renderer.RenderingOptions.MarginTop = 10;
        renderer.RenderingOptions.MarginBottom = 10;
        renderer.RenderingOptions.MarginLeft = 10;
        renderer.RenderingOptions.MarginRight = 10;
        renderer.RenderingOptions.PaperSize = PdfPaperSize.A4;

        var pdf = renderer.RenderHtmlFileAsPdf("input.html");
        pdf.SaveAs("custom-output.pdf");
    }
}

// NuGet: Install-Package IronPdf
using IronPdf;
using IronPdf.Rendering;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        renderer.RenderingOptions.PaperOrientation = PdfPaperOrientation.Landscape;
        renderer.RenderingOptions.MarginTop = 10;
        renderer.RenderingOptions.MarginBottom = 10;
        renderer.RenderingOptions.MarginLeft = 10;
        renderer.RenderingOptions.MarginRight = 10;
        renderer.RenderingOptions.PaperSize = PdfPaperSize.A4;

        var pdf = renderer.RenderHtmlFileAsPdf("input.html");
        pdf.SaveAs("custom-output.pdf");
    }
}

CLI 到 C# API 的映射

C# 封裝器 API 映射

佔位符語法映射

安全合規要求

有安全合規要求(SOC 2、PCI DSS、HIPAA)的組織不能接受存在已知嚴重漏洞的應用程式。 CVE-2022-35583 的嚴重性評級為 9.8，在大多數安全框架中會觸發立即補救要求。

現代CSS框架的採用

採用 Bootstrap 5、Tailwind CSS 或自訂 CSS Grid 佈局的團隊發現 wkhtmltopdf 無法正確渲染這些佈局。 2015 年的 WebKit 引擎完全不支援 CSS Grid，並且破壞了 Flexbox 的實作。

JavaScript應用程式要求

使用現代JavaScript特性(包括箭頭函數、async/await、類別和模板字面量等 ES6+ 語法)的應用程式在 wkhtmltopdf 中會遇到故障。 IronPDF 的 Chromium 引擎提供完整的JavaScript支援。

雲端和容器部署

使用 Docker、Kubernetes 或雲端平台的現代部署策略受益於 IronPDF 的容器友善架構。 對容器中的 wkhtmltopdf 二進位進行安全掃描會標記出 CVE 漏洞。

長期維護問題

由於 wkhtmltopdf 預計不會再有更新，隨著 Web 標準的演變，團隊將面臨日益增長的技術債。 IronPDF 的積極開發確保了其與未來.NET版本(包括預計於 2026 年發布的.NET 10)的持續相容性。

非同步支援

IronPDF為 Web 應用程式效能提供 async/await 支援：

public async Task<byte[]> GeneratePdfAsync(string html)
{
    var renderer = new ChromePdfRenderer();
    var pdf = await renderer.RenderHtmlAsPdfAsync(html);
    return pdf.BinaryData;
}

public async Task<byte[]> GeneratePdfAsync(string html)
{
    var renderer = new ChromePdfRenderer();
    var pdf = await renderer.RenderHtmlAsPdfAsync(html);
    return pdf.BinaryData;
}

這可以防止高負載 Web 應用程式中的執行緒阻塞——這是 wkhtmltopdf 的僅同步包裝器所不具備的功能。