我正在编写一些 PHP，它采用一些路径到不同的内容目录，并在以后使用这些路径来包含页面的各个部分。我试图确保路径与它们看起来的一样，并且它们都没有违 react 用程序的规则。哪些是，

1. PRIVATEDIR(相对于 DOCUMENT_ROOT 定义)必须在 DOCUMENT_ROOT 之上。
2. CONTENTDIR(相对于 PRIVATEDIR 定义)必须位于 PRIVATEDIR 下方并且不得返回到 DOCUMENT_ROOT .
3. 剩余的 *DIRS(相对于 CONTENTDIR 定义)必须位于 CONTENTDIR 下方

我在单例 Controller 类中设置一些默认值，然后用户将他们想要覆盖的路径数组传递给此类构造函数。然后我想对他们进行健全性检查以确保他们遵守上述规则。这是我开始着手处理的方式......

编辑: 请注意我在下面的代码中使用了 error_reporting，然后不要自己动手!我误解了该命令的工作原理。如果您想知道为什么，请参阅评论中 stealthyninja 和 Col. Shrapnel 的评论(感谢他们向我指出这一点)。

private $opts = array( // defaults
   'PRIVATEDIR'   => '..',        // relative to document root
   'CONTENTDIR'   => 'content',   // relative to private dir
   ...
   ...
);

private function __construct($options) { //$options is the user defined options
    error_reporting(0);
    if(is_array($options)) {
        $this->opts = array_merge($this->opts, $options);
    }

    if($this->opts['STATUS']==='debug') {
        error_reporting(E_ALL | E_NOTICE | E_STRICT);
    }

    $this->opts['PUBLICDIR']  = realpath($_SERVER['DOCUMENT_ROOT'])
                                        .DIRECTORY_SEPARATOR;
    $this->opts['PRIVATEDIR'] = realpath($this->opts['PUBLICDIR']
                                        .$this->opts['PRIVATEDIR'])
                                        .DIRECTORY_SEPARATOR;
    $this->opts['CONTENTDIR'] = realpath($this->opts['PRIVATEDIR']
                                        .$this->opts['CONTENTDIR'])
                                        .DIRECTORY_SEPARATOR;
    $this->opts['CACHEDIR']   = realpath($this->opts['CONTENTDIR']
                                        .$this->opts['CACHEDIR'])
                                        .DIRECTORY_SEPARATOR;
    $this->opts['ERRORDIR']   = realpath($this->opts['CONTENTDIR']
                                        .$this->opts['ERRORDIR'])
                                        .DIRECTORY_SEPARATOR;
    $this->opts['TEMPLATEDIR' = realpath($this->opts['CONTENTDIR']
                                        .$this->opts['TEMPLATEDIR'])
                                        .DIRECTORY_SEPARATOR;

   ...
   ...
   ...


    // then here I have to check that PRIVATEDIR is above PUBLICDIR
    // and that all the rest remain within private dir and don't drop 
    // down into (or below) PUBLICDIR again. And die with an error if
    // they don't conform.
}

事情是这似乎有很多工作要做，特别是因为它必须运行，每次访问页面时，在我可以做任何其他事情之前(例如检查我正在服务的页面的缓存版本)，当路径本质上是静态的。

我的一部分认为站点的维护者(目前是我)应该知道他们提供的路径，并且应该检查自己是否符合规则。但是(我认为)我更明智的一面是说，不，我应该同样负责检查路径是否符合要求，因为事故确实会发生(尤其是随着网站的发展/变化/获得新的维护者......)和如果可以在安全关键环境中捕获它们，就没有理由不捕获它们。

所以，我几乎决定要检查这些路径，问题是我的方法有多好？这感觉像是一个次优的解决方案。你会如何改进它或者你会建议什么替代方案？有没有办法解决每次加载页面时都必须这样做的问题，并以某种方式在配置更改时才这样做？ (那将是理想的，但我不认为微不足道)。

谢谢。

最佳答案

如何使用 strpos 查找子字符串？这不是最优雅的解决方案，但如果您只想为已经在网站上拥有大量权力的人提供一些基本保护。以下是我的做法:

// PRIVATEDIR already includes PUBLICDIR at this point
if(strpos($this->opts['PRIVATEDIR'],$this->opts['PUBLICDIR']) !== 0) {
die('ERROR: '.$this->opts['PRIVATEDIR'].' must be located in .'$this->opts['PUBLICDIR']);
}

注意三元组不等于，它确保 PUBLICDIR 出现在 PRIVATEDIR 字符串的位置 0 而不是简单地找不到或在字符串中的其他位置。此外，您还应该检查它们是否相同 (PUBLICDIR != PRIVATEDIR)，因为您可以将其设置为“./test/../”，这将使您返回到“.”。

关于php - 在 PHP 中保护路径，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/4522701/