path traversal
什么是路径遍历？
路径遍历也称为目录遍历。这些漏洞使攻击者能够读取运行应用程序的服务器上的任意文件。这可能包括：
- 应用程序代码和数据。
- 后端系统的凭据。
- 敏感的操作系统文件。
在某些情况下，攻击者可能能够写入服务器上的任意文件，从而允许他们修改应用程序数据或行为，并最终完全控制服务器。
如何防止路径遍历攻击
防止路径遍历漏洞的最有效方法是完全避免将用户提供的输入传递给文件系统 API。可以重写许多执行此操作的应用程序函数，以便以更安全的方式提供相同的行为。
如果您无法避免将用户提供的输入传递给文件系统 API，我们建议使用两层防御来防止攻击：
- 在处理用户输入之前对其进行验证。理想情况下，将用户输入与允许值的白名单进行比较。如果无法做到这一点，请验证输入是否仅包含允许的内容，例如仅包含字母数字字符。
- 验证提供的输入后，将输入附加到基本目录，并使用平台文件系统 API 规范化路径。验证规范化路径是否以预期的基目录开头。
下面是一些简单的 Java 代码示例，用于根据用户输入验证文件的规范路径：
File file = new File(BASE_DIRECTORY, userInput);
if (file.getCanonicalPath().startsWith(BASE_DIRECTORY)) {
// process file
}
1. `File file = new File(BASE_DIRECTORY, userInput);`
这行代码创建了一个`File`对象，代表一个文件或目录。`BASE_DIRECTORY`是一个常量，表示基础目录的路径，而`userInput`是一个变量，表示用户输入的文件或目录名。通过这种方式，你可以很容易地根据基础目录和用户输入来构造一个完整的文件路径。
2. `if (file.getCanonicalPath().startsWith(BASE_DIRECTORY)) {`
这行代码检查文件是否确实存在于基础目录中。`getCanonicalPath()`方法返回文件的规范路径名（规范化路径），即没有相对路径、没有`.`或`..`、没有多余的斜杠等。然后，使用`startsWith()`方法检查规范路径是否以基础目录开始。如果以基础目录开始，那么该文件确实在基础目录中。
3. `// process file`
这是一个注释，表示在这里处理文件。具体的处理方式没有在这段代码中给出，但通常这可能包括读取文件内容、写入文件、修改文件等操作。
总的来说，这段代码的目的是检查用户输入的文件或目录是否确实在基础目录中，如果是，则进一步处理这个文件。这是一种常见的验证和文件处理方式，用于确保不会发生路径遍历攻击或其他与文件位置相关的安全问题。
