下载功能如果把用户提供的字符串直接拼进文件路径，可能读取到原本不应提供的内容。限制下载范围应依靠明确的文件选择与权限规则，不能只删除几个可疑字符。
优先让客户端选择文件标识
如果业务只提供固定附件，可让客户端提交附件ID，由服务器查到受控路径并核对访问权限。用户知道一个ID，并不代表有权读取该文件；不要把数据库里存在的记录自动视为公开附件。
路径检查要考虑最终解析结果
确需接收路径时，应使用平台可靠的规范化和目录归属检查，同时考虑符号链接、绝对路径和编码处理。用字符串前缀判断目录容易把相似名称也放行。业务允许目录与系统文件权限应共同限制访问。
在临时材料中验证边界
准备一个允许目录内的无害文件、一个目录外的无害文件，以及未知ID，确认只有经过授权的对象可下载。拒绝时不要回显服务器完整路径。本文没有读取真实敏感文件，也没有向第三方下载接口发送测试请求。
资料与继续学习
OWASP：路径遍历。资料查阅日期：2026年10月5日。步骤与练习由本站整理。
资料查阅与编辑日期：2026年10月5日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
