检查用户请求的文件是否在基本目录下

Question

我在Web服务器上有一个充满文件的目录层次结构，我希望用户能够通过请求访问这些文件中的任何一个。（这比这复杂一点，这就是为什么我需要访问Java Web应用程序中的文件。）实现此目的的自然方法是允许用户指定文件，例如使用正斜杠/my-web-endpoint?param=folder1/folder2/file.txt。然后我会在Java中找到类似的文件new File(baseDirectory, param)。到目前为止，一切正常。但是，如果用户要求提供param=../something-private/file.txt诸如此类的东西怎么办？我应该如何预防呢？我可以只禁止使用其中的参数..，但这够了吗？我总是有点担心黑名单。如果我没有想到另一种语法怎么办？（例如，想出一个新的道路/。但是也许还有其他人。）我可以使用getCanonicalFile()，然后检查路径是否以基本目录开头，例如File baseDirectory = ....String param = ...File desiredFile = new File(baseDirectory, param);if ( ! desiredFile.getCanonincalPath().startsWith(        baseDirectory.getCanonincalPath()+File.separator))    throw ...这够了吗？会出什么毛病吗？正确的方法是什么？

Answer 1

您可以使用一种检查候选路径是否以必填父路径开头的方法。看来Java 7 nio对此提供了很好的支持。

这是实现此想法的方法：

/**

 * Check if a candidate path starts with a mandatory parent path

 * @param mandatoryParentPath Mandatory parent path

 * @param candidate Candidate path which should be under the mandatory parent path

 * @return {@code true} if a candidate path starts with a mandatory parent path, else {@code false}

 */

/**

 * Check if a candidate path starts with a mandatory parent path

 * @param mandatoryParentPath Mandatory parent path

 * @param candidate Candidate path which should be under the mandatory parent path

 * @return {@code true} if a candidate path starts with a mandatory parent path, else {@code false}

 */

public static boolean absoluteStartsWith(Path mandatoryParentPath, Path candidate) throws IOException {

    Objects.requireNonNull(mandatoryParentPath, "Mandatory parent path should not be null");

    Objects.requireNonNull(candidate, "Candidate path should not be null");

    Path path = candidate.toRealPath();

    System.out.println(" " + candidate); // debugging code

    return path.startsWith(mandatoryParentPath.toAbsolutePath());

}

这是验证上述方法的简单测试：

public static void main (String[] args) throws java.lang.Exception

{

    Path root = Paths.get("d:/work");

    System.out.println(absoluteStartsWith(root, root.resolve("/tmp")));

    System.out.println(absoluteStartsWith(root, root.resolve("..")));

    System.out.println(absoluteStartsWith(root, root.resolve("ems")));

}

这会在我的机器上打印出来：

 d:\tmp

false

 d:\work\..

false

 d:\work\ems

true

注意：如果候选路径之一不存在，则上述absoluteStartsWith方法将引发IOException 。