Go filepath.Rel 怎样判断相对路径是否越出指定目录

在处理用户上传目录、工作区文件或导出目录时，经常需要回答一个具体问题：目标路径到底还在指定根目录里面，还是已经通过 .. 走到了外面？Go 的 filepath.Rel 可以计算这层词法关系，但它不会替你完成“允许还是拒绝”的业务判断。

先给结论：调用 filepath.Rel(basePath, targPath) 后，先处理 err；如果业务要求目标必须在根目录内，再拒绝结果等于 .. 或以 ../ 开头的相对路径。普通结果才进入后续读取或写入流程。

官方文档：https://pkg.go.dev/path/filepath#Rel

先理解 filepath.Rel 返回的是什么

filepath.Rel 的目标是返回一个相对路径，使它和 basePath 拼接后在词法上等价于 targPath。它会清理计算结果，但不会读取目录、检查文件是否存在，也不会解析符号链接。

因此不能只写成“返回值非空就继续”。../secret.txt 是一个有效的相对字符串，却不符合“只能访问指定根目录”的约束。

用 .. 明确判断是否越出根目录

对于 Unix 风格的示例，越出根目录的结果通常是 .. 或以 ../ 开头。判断时要把本机分隔符转换为统一的斜杠，再做完整的段判断，避免只匹配一个普通前缀。

package rootcheck

import (
    "fmt"
    "path/filepath"
    "strings"
)

// RelativeInside 只接受位于 basePath 词法子树中的 targPath。
func RelativeInside(basePath, targPath string) (string, error) {
    // Rel 只计算路径关系；它不检查目标文件是否存在。
    rel, err := filepath.Rel(basePath, targPath)
    if err != nil {
        return "", fmt.Errorf("无法计算相对路径: %w", err)
    }

    // ToSlash 让后续的边界判断使用统一的斜杠表示。
    rel = filepath.ToSlash(rel)
    if rel == ".." || strings.HasPrefix(rel, "../") {
        return "", fmt.Errorf("目标路径越出根目录: %q", rel)
    }
    return rel, nil
}

这里的两个条件不能合并成简单的 strings.HasPrefix(rel, "..")：文件名 ..data 并不是父目录段。完整匹配 .. 或带斜杠的 ../，表达的是路径段边界。

先处理 Rel 错误，再决定业务策略

Rel 在无法建立相对关系时返回错误，例如不同磁盘卷、不同根，或者输入需要依赖当前工作目录才能解释。错误分支不能用空字符串、原始目标路径或猜测出来的结果代替。

package rootcheck

import (
    "errors"
    "fmt"
    "path/filepath"
)

// ResolveTarget 把路径计算错误与越界错误分开返回给调用方。
func ResolveTarget(basePath, targPath string) (string, error) {
    // 先保留 Rel 的原始错误，便于上层记录真实原因。
    rel, err := filepath.Rel(basePath, targPath)
    if err != nil {
        return "", fmt.Errorf("根目录与目标路径不兼容: %w", err)
    }

    rel = filepath.Clean(rel)
    // Clean 只做词法整理，不能代替越界判断；这里仍检查父目录结果。
    if rel == ".." || len(rel) >= 3 && rel[:3] == ".."+string(filepath.Separator) {
        return "", errors.New("目标路径不在指定根目录内")
    }
    return rel, nil
}

示例中的 filepath.Clean 只是让比较结果更规整。真正的策略仍是检查父目录段。若要输出跨平台的文本路径，可在返回前调用 filepath.ToSlash；若后续要访问本机文件，则保留本机分隔符通常更自然。

词法判断和符号链接不是一回事

filepath.Rel 只根据字符串和路径规则计算相对关系。假设 /srv/app/link 是一个指向 /srv/secret 的符号链接，即使字符串结果看起来落在 /srv/app 内，实际打开文件时也可能走到根目录之外。

如果业务边界必须覆盖符号链接，需要在明确的权限模型下解析并比较真实路径，例如分别处理 filepath.EvalSymlinks 的错误，再对解析后的路径重新计算关系。不要把“Rel 返回了普通字符串”解释成“文件系统访问一定安全”。

常见误区速查

可以把整套规则记成一句话：Rel 负责计算，err 负责报告无法计算，.. 负责暴露词法越界，业务代码负责决定是否拒绝。

相关问题

filepath.Rel 会自动阻止路径越出根目录吗？

不会。它可能返回带有 .. 的相对路径；是否接受这样的结果属于调用方的业务规则。

为什么不能直接用 strings.HasPrefix 判断根目录？

字符串前缀不理解路径段边界，例如 /srv/app2 可能被误认为位于 /srv/app 下。先计算相对结果，再判断父目录段更清晰。

Rel 能发现符号链接越界吗？

不能。它是词法计算；需要考虑真实文件系统路径时，应在权限和错误处理明确的前提下单独解析符号链接。