php - 在 PHP 中防止目录遍历但允许路径

Question

我有一个基本路径/whatever/foo/

和$_GET['path'] 应该是相对于它的。

但是如何在不允许目录遍历的情况下完成此操作(读取目录)？

例如。

/\.\.|\.\./

无法正确过滤。

Answer 1

嗯，一种选择是比较真实路径:

$basepath = '/foo/bar/baz/';
$realBase = realpath($basepath);

$userpath = $basepath . $_GET['path'];
$realUserPath = realpath($userpath);

if ($realUserPath === false || strpos($realUserPath, $realBase) !== 0) {
    //Directory Traversal!
} else {
    //Good path!
}

基本上，realpath()将提供的路径解析为实际的硬物理路径(解析符号链接(symbolic link)、..、.、/、//等)...因此，如果实际用户路径不是以实际基本路径开始的，则它正在尝试进行遍历。请注意，realpath 的输出将不 包含任何“虚拟目录”，例如 . 或 .... .