解析不存在文件的相对路径（如真实路径）的最佳方法是什么？

php security path

2022-08-30 17:51:51

我正在尝试在文件系统抽象中强制实施根目录。我遇到的问题如下：

该 API 允许您读取和写入文件，不仅可以读取和写入本地存储，还可以读取和写入远程存储。因此，在引擎盖下发生了各种各样的正常化。目前它不支持相对路径，所以这样的事情是不可能的：

$filesystem->write('path/to/some/../relative/file.txt', 'file contents');

我希望能够安全地解析路径，因此输出将是：。正如在为这个错误/增强功能（https://github.com/FrenkyNet/Flysystem/issues/36#issuecomment-30319406）创建的github问题中所述，它需要做的更多，只是拆分段并相应地删除它们。path/to/relative/file.txt

另外，由于该软件包处理远程文件系统和不存在的文件，因此 realpath 是不可能的。

那么，在处理这些路径时应该如何操作呢？

答案 1

引用Jame Zawinski的话：

有些人在遇到问题时会想：“我知道，我会用正则表达式。现在他们有两个问题。

protected function getAbsoluteFilename($filename) {
  $path = [];
  foreach(explode('/', $filename) as $part) {
    // ignore parts that have no value
    if (empty($part) || $part === '.') continue;

    if ($part !== '..') {
      // cool, we found a new part
      array_push($path, $part);
    }
    else if (count($path) > 0) {
      // going back up? sure
      array_pop($path);
    } else {
      // now, here we don't like
      throw new \Exception('Climbing above the root is not permitted.');
    }
  }

  // prepend my root directory
  array_unshift($path, $this->getPath());

  return join('/', $path);
}

答案 2

我已经解决了如何执行此操作，这是我的解决方案：

/**
 * Normalize path
 *
 * @param   string  $path
 * @param   string  $separator
 * @return  string  normalized path
 */
public function normalizePath($path, $separator = '\\/')
{
    // Remove any kind of funky unicode whitespace
    $normalized = preg_replace('#\p{C}+|^\./#u', '', $path);

    // Path remove self referring paths ("/./").
    $normalized = preg_replace('#/\.(?=/)|^\./|\./$#', '', $normalized);

    // Regex for resolving relative paths
    $regex = '#\/*[^/\.]+/\.\.#Uu';

    while (preg_match($regex, $normalized)) {
        $normalized = preg_replace($regex, '', $normalized);
    }

    if (preg_match('#/\.{2}|\.{2}/#', $normalized)) {
        throw new LogicException('Path is outside of the defined root, path: [' . $path . '], resolved: [' . $normalized . ']');
    }

    return trim($normalized, $separator);
}