Python pathlib 拼接用户路径时怎么避免丢失根目录

用 pathlib 拼接用户输入时，根目录“丢失”通常不是 Path 出错，而是输入本身带了根。比如 Path("/srv/data") / "/tmp/a.txt" 的结果是 /tmp/a.txt，右侧绝对路径会替换左侧路径段。稳定的做法是先把输入转成 Path，用 is_absolute() 分类；如果业务要求所有文件都在固定目录下，就拒绝绝对输入，并在最终路径上做边界检查。

绝对路径为什么会让左侧根目录消失

pathlib 的路径对象会按操作系统规则处理路径段。基目录后面接普通相对段时，路径会继续向下；一旦某个段已经是绝对路径，之前的段就不再参与结果。这个规则与 os.path.join() 的直觉一致，但在“目录 + 用户输入”场景里很容易被忽略。

from pathlib import Path

root = Path("/srv/data")
relative_name = Path("reports/today.txt")
absolute_name = Path("/tmp/today.txt")

# 相对路径会保留 root，并继续向下拼接。
print(root / relative_name)  # /srv/data/reports/today.txt

# 绝对路径自带根，左侧 root 不再出现在结果中。
print(root / absolute_name)  # /tmp/today.txt

所以把 root / Path(user_input) 当成“强制放进 root”是不成立的。joinpath() 也不会改变这一点：root.joinpath(absolute_name) 同样会得到 /tmp/today.txt。两种写法的区别主要是表达习惯，不是安全边界。

需要保留根目录时，先分类再拼接

如果接口约定用户只能提交相对文件名，最小可靠规则是先拒绝绝对输入，再拼接。不要先拼接、发现结果不对后再用字符串替换根目录；那样会把路径规范化、Windows 盘符和大小写问题混在一起。

from pathlib import Path

def make_child_path(root: Path, user_value: str) -> Path:
    """只接受相对路径，并返回 root 下的候选路径。"""
    candidate = Path(user_value)

    # 绝对输入拥有自己的根，直接拒绝可避免覆盖 root。
    if candidate.is_absolute():
        raise ValueError("文件名必须是相对路径")

    # 这里不做 I/O，只构造路径，后续再决定是否解析和读取。
    return root / candidate

root = Path("/srv/data")
path = make_child_path(root, "reports/today.txt")
print(path)  # /srv/data/reports/today.txt

在 Unix 路径上，/tmp/a.txt 会被识别为绝对路径；在 Windows 上，盘符和根也会影响判断。官方文档把 Path 定义为当前平台的具体路径类，因此不要拿当前机器上的字符串判断结果，去替代目标平台的 Path 语义。

拼接后怎样确认没有越出指定目录

仅检查输入是不是绝对路径还不够，因为相对输入可能包含 ..。当路径来自请求参数、上传文件名或配置时，应把基目录和候选路径解析到可比较的形式，再确认候选路径位于根目录之下。relative_to() 适合做这个关系判断；它不是字符串前缀比较，也不会因为目录名恰好相似而误判。

from pathlib import Path

def checked_file(root: Path, user_value: str) -> Path:
    candidate = Path(user_value)
    if candidate.is_absolute():
        raise ValueError("不接受绝对路径")

    # strict=False 允许先检查新文件的目标位置，不要求它已经存在。
    root_real = root.resolve()
    candidate_real = (root / candidate).resolve()

    try:
        candidate_real.relative_to(root_real)
    except ValueError as exc:
        # 解析后不在 root 内，拒绝 ../ 等越界写法。
        raise ValueError("路径必须位于数据目录内") from exc

    # 目录边界通过后，再确认目标是普通文件。
    if not candidate_real.is_file():
        raise FileNotFoundError(candidate_real)
    return candidate_real

resolve() 会处理实际文件系统中的符号链接和 ..，因此比 str(path).startswith(str(root)) 更适合做边界关系判断。若你的业务允许创建尚不存在的文件，可以保留这一步的路径关系检查，再在写入前创建父目录；若只读已有文件，is_file() 通过后再打开。

用哪种拼接写法更合适

可以把规则记成一句话：拼接前判断输入，解析后判断边界，访问前判断类型。这样既保留了 pathlib 的跨平台路径语义，也不会误以为更换 / 或 joinpath() 就能自动保留根目录。

常见问题

Path(root, user_value) 会不会比 root / user_value 更安全？

不会。两者都会按路径段规则处理绝对输入；安全性来自输入分类和最终边界检查，不来自拼接语法的外观。

为什么不能只判断字符串是否以 root 开头？

字符串前缀无法正确处理 ..、符号链接、路径分隔符和相似目录名。先 resolve()，再用 relative_to() 判断路径关系更清楚。

is_file() 能代替路径边界检查吗？

不能。它只回答目标是否为文件，不回答文件是否位于允许目录内；两项检查解决的是不同问题。

官方参考：Python pathlib 文档，重点查看路径段拼接、is_absolute()、resolve()、relative_to() 和 is_file() 的说明。