Laravel:如何防止用户从基本路径之外加载文件

Question

我有一个 Laravel 网站，我有几条路线可以从存储中加载图像内容。我使用以下代码执行此操作:

public function show_image($name) {
    echo Storage::disk('images')->get($name);
}

我想阻止用户将名称设置为类似 ../../../error.log 的内容。所以我不希望用户转义存储目录。我对如何实现这一目标有一些想法，但我想知道是否有最佳实践？

Answer 1

如果您只需要文件名，而不是位置，请禁止他们输入任何类型的文件夹。只需剪切 / 上的字符串即可。

end(preg_split("#/#", $name)); 

当您需要允许某些文件夹和所有内容时，请检查文件夹名称、子文件夹名称等。