当前位置：首页 > 文章列表 > 文章 > php教程 > PHP防目录遍历：过滤..与限制根目录访问

PHP防目录遍历：过滤..与限制根目录访问

2025-12-12 20:59:41 0浏览收藏

大家好，我们又见面了啊~本文《PHP防止目录遍历攻击：过滤..并限制根目录访问方法》的内容中将会涉及到等等。如果你正在学习文章相关知识，欢迎关注我，以后会给大家带来更多文章相关文章，希望我们能一起进步！下面就开始本文的正式内容~

防止目录遍历攻击的关键是严格过滤并验证用户输入的文件路径。1. 过滤 ../ 和特殊字符，使用 str_replace 或正则清理输入；2. 利用 realpath() 规范化路径并校验其是否位于安全目录内；3. 禁止绝对路径输入，限制访问范围；4. 优先使用文件ID映射代替直接路径传递。核心是不信任用户输入，确保最终路径在预设范围内。

php如何防止目录遍历攻击_php过滤路径中的..与限制根目录访问方法

PHP中防止目录遍历攻击的关键是严格过滤用户输入的文件路径，避免其通过../跳转到非预期目录。这类攻击常出现在文件下载、图片读取或日志查看等功能中，攻击者利用相对路径访问系统敏感文件（如/etc/passwd）。以下是几种有效防护方法。

1. 过滤路径中的 ../ 和特殊字符

用户传入的路径中不应包含..、//、\0等危险字符。使用str_replace或正则表达式清除或拒绝这些内容：

$userPath = str_replace(['../', '..\\'], '', $userPath);

或更严格地只允许字母、数字和特定符号：

$userPath = preg_replace('/[^a-zA-Z0-9._\-\/]/', '', $userPath);

但注意：仅靠过滤不够，仍可能被绕过，需结合其他措施。

2. 使用 realpath() 验证路径是否在安全目录内

通过realpath()将路径规范化，并检查其是否位于指定根目录下：

$baseDir = '/var/www/html/uploads/';
$userFile = $_GET['file'];
$fullPath = realpath($baseDir . $userFile);

if (strpos($fullPath, $baseDir) !== 0) {
    die('非法访问');
}

if (!$fullPath || !file_exists($fullPath)) {
    die('文件不存在');
}

readfile($fullPath);

说明： realpath()会解析../和符号链接，得到真实路径。再判断该路径是否以合法根目录开头，防止跳出限制范围。

3. 限制根目录访问，禁止绝对路径

不允许用户输入以/或C:\开头的路径，强制相对应用内部目录：

if (preg_match('/^[/\\\\]|[a-zA-Z]:[\\\\\\/]/', $userFile)) {
    die('不允许使用绝对路径');
}

同时可设定白名单目录，只允许访问预定义的几个子目录。

4. 使用映射表或ID代替直接路径

最安全的方式是不让用户直接传路径。例如用ID对应文件：

$files = [
    1 => 'report.pdf',
    2 => 'image.jpg'
];

$id = (int)$_GET['id'];
if (!isset($files[$id])) {
    die('无效ID');
}

$filePath = '/safe/dir/' . $files[$id];

这样完全避免路径操纵风险。

基本上就这些。核心原则是：不信任用户输入，始终校验最终路径是否在允许范围内，优先使用间接引用方式。

好了，本文到此结束，带大家了解了《PHP防目录遍历：过滤..与限制根目录访问》，希望本文对你有所帮助！关注golang学习网公众号，给大家分享更多文章知识！