Go symlink 读取为何绕过了目录判断

如果程序先用 filepath.Join、filepath.Clean 或 filepath.IsLocal 判断输入，再直接读取文件，那么输入路径中的符号链接可能把最终目标带到允许目录之外。原因是这些判断主要处理路径字符串本身，不会替你追踪文件系统里的 symlink。读取已有文件时，可靠的修正顺序是：先拒绝明显的绝对路径和 ..，再用 filepath.EvalSymlinks 解析允许目录与目标，最后用 filepath.Rel 判断解析后的目标是否仍在根目录内。

先分清词法路径和真实目标

假设服务只允许读取 /srv/app/public 下的文件。用户传入 docs/report.txt 时，程序把它拼接成 /srv/app/public/docs/report.txt，看起来没有绝对路径，也没有 ..。但如果 public/docs/report.txt 其实是一个指向 /srv/app/private/report.txt 的符号链接，后续的 os.ReadFile 会沿着链接读取 private 目录中的目标。

这里有两套不同的问题：路径字符串是否写得规矩，以及文件系统最终把它指向哪里。filepath.IsLocal 的文档明确说明它只做词法分析，不会计算符号链接的影响；filepath.EvalSymlinks 才会返回解析符号链接后的路径。只检查前一套条件，不能证明后一套条件成立。

用最小复现观察检查顺序

下面的示例只搭建一个临时目录、一个目录外文件和一个符号链接，用来观察三个 API 的职责差异。它不是生产授权逻辑，重点是让输入字符串、词法路径和最终目标同时可见。

package main

import (
    "fmt"
    "os"
    "path/filepath"
)

func main() {
    // 临时目录便于演示，退出时清理整个实验目录。
    root, err := os.MkdirTemp("", "symlink-demo-")
    if err != nil {
        panic(err)
    }
    defer os.RemoveAll(root)

    publicDir := filepath.Join(root, "public")
    privateDir := filepath.Join(root, "private")
    if err := os.MkdirAll(publicDir, 0o755); err != nil {
        panic(err)
    }
    if err := os.MkdirAll(privateDir, 0o755); err != nil {
        panic(err)
    }

    target := filepath.Join(privateDir, "report.txt")
    if err := os.WriteFile(target, []byte("private data"), 0o600); err != nil {
        panic(err)
    }

    link := filepath.Join(publicDir, "report.txt")
    // 链接位于 public 内，但它的目标位于 private 内。
    if err := os.Symlink(target, link); err != nil {
        panic(err)
    }

    input := filepath.Join("public", "report.txt")
    joined := filepath.Join(root, input)
    resolved, err := filepath.EvalSymlinks(joined)
    if err != nil {
        panic(err)
    }

    fmt.Println("词法路径：", joined)
    fmt.Println("是否本地相对路径：", filepath.IsLocal(input))
    fmt.Println("解析后目标：", resolved)
}

这个现象最容易误判的地方是 IsLocal(input) 仍然可能返回 true：public/report.txt 在词法上确实是本地相对路径。真正越界发生在文件系统解析 symlink 之后，所以检查点必须覆盖解析结果，而不能只看输入字符串。

先做词法拦截再解析符号链接

如果业务是“读取已经存在的文件”，可以把边界检查封装成一个小函数。它先固定允许根目录的绝对路径，再拒绝空路径、绝对路径和词法上的父目录跳转；之后分别解析根目录与候选文件，使用相对路径判断解析后的目标是否在根目录内。只有返回的路径可以直接交给读取函数时才放行。

package safeopen

import (
    "errors"
    "os"
    "path/filepath"
    "strings"
)

var errOutsideRoot = errors.New("path resolves outside allowed root")

func ResolveInside(root, name string) (string, error) {
    // 先固定根目录，避免把相对 root 解释成不同工作目录。
    rootAbs, err := filepath.Abs(root)
    if err != nil {
        return "", err
    }
    // IsLocal 是词法拦截，不等于已经完成 symlink 安全检查。
    if !filepath.IsLocal(name) || name == "." {
        return "", errOutsideRoot
    }

    candidate := filepath.Join(rootAbs, name)
    resolvedRoot, err := filepath.EvalSymlinks(rootAbs)
    if err != nil {
        return "", err
    }
    resolvedTarget, err := filepath.EvalSymlinks(candidate)
    if err != nil {
        // 目标不存在或某一段链接无法解析时，不把未知状态当成允许。
        return "", err
    }

    rel, err := filepath.Rel(resolvedRoot, resolvedTarget)
    if err != nil {
        return "", err
    }
    outside := rel == ".." || strings.HasPrefix(rel, ".."+string(filepath.Separator))
    if outside {
        return "", errOutsideRoot
    }
    return resolvedTarget, nil
}

func ReadInside(root, name string) ([]byte, error) {
    // 只读取已解析且确认仍在根目录内的目标。
    resolved, err := ResolveInside(root, name)
    if err != nil {
        return nil, err
    }
    return os.ReadFile(resolved)
}

Rel 的结果要按完整路径段判断：.. 和以 ../ 开头的结果表示目标在根目录外，而只判断字符串前缀会把 /srv/app/publicity 误认为是 /srv/app/public 的子目录。这里返回解析后的路径而不是重新拼接原始输入，也让调用方不会再次绕回未解析路径。

处理异常、竞态和适用边界

第一，EvalSymlinks 不是万能的路径清洗器：目标不存在、链接断裂或权限不足时会返回错误。对于“允许上传后再创建文件”的流程，不能简单把解析失败改成放行；应把创建策略单独设计，明确是否允许链接、是否只允许普通文件。

第二，解析和打开之间可能发生 TOCTOU 竞态。如果攻击者能同时修改目录内容，检查通过后再替换 symlink，后面的 os.ReadFile 仍可能打开另一目标。高风险服务不要把上面的函数当作内核级隔离；应结合系统提供的目录句柄、根目录约束或不跟随符号链接的打开选项，并把权限控制放在文件系统层。

第三，根目录本身也可能是链接。示例中同时解析 rootAbs 和候选路径，目的是让两边使用同一套真实路径坐标系。若业务不允许根目录通过 symlink 变化，可以在启动时固定并记录解析后的根目录，再配合目录权限减少变化空间。

延伸问答

把 filepath.EvalSymlinks 放在读取之后可以吗？

不行。读取动作本身可能已经跟随链接到越界目标；解析应发生在把路径交给读取函数之前。

只禁止输入中的 .. 是否足够？

不够。没有 .. 的普通文件名也可以是符号链接，必须把词法检查和链接解析后的边界判断结合起来。

解析后的路径在根目录下就能完全防住攻击吗？

不能完全等同于隔离。若检查与打开之间的文件系统状态可被改变，仍有竞态风险；对高风险资源应使用更强的根目录打开语义和权限策略。