AI / 编程与调试

下载接口的路径穿越

文件名参数带上两个点就能读走服务器任意文件，怎么堵死

下载接口接收文件名参数 [参数名]，代码里直接与上传目录做字符串拼接。请说明攻击者用 ../、绝对路径、URL 编码、以及 [操作系统] 下的短文件名分别能读到哪些文件，再给出正确实现：只允许用 ID 映射到白名单目录、规范化后校验是否仍在根目录内、拒绝符号链接。附上修复前后各一段代码。