Path Traversal in a Download Endpoint
Path Traversal in a Download Endpoint — Chinese original prompt
下载接口接收文件名参数 [参数名]，代码里直接与上传目录做字符串拼接。请说明攻击者用 ../、绝对路径、URL 编码、以及 [操作系统] 下的短文件名分别能读到哪些文件，再给出正确实现：只允许用 ID 映射到白名单目录、规范化后校验是否仍在根目录内、拒绝符号链接。附上修复前后各一段代码。
Site original
Chinese original
How to use
用"按 ID 查库拿路径"替代"用户传路径"，比加过滤函数可靠得多。