如何修复Python Web项目中的路径遍历漏洞_使用os.path.basename过滤-Python教程-PHP中文网

os.path.basename不能可靠防御路径遍历，因为它仅字符串截取、不解析路径语义，对../../../etc/passwd返回passwd，且无法处理..、编码（%2e%2e%2f）或空字节（\x00）绕过；必须用os.path.realpath归一化后与绝对基准目录比对。

如何修复python web项目中的路径遍历漏洞_使用os.path.basename过滤

为什么 `os.path.basename` 不能可靠防御路径遍历

直接用 os.path.basename 过滤用户输入的文件名，看似能“只取最后一段”，实则完全无效。它只剥离路径分隔符前的所有内容，对 ../../../etc/passwd 这类输入，os.path.basename 返回的仍是 passwd —— 攻击者早已绕过过滤，后续拼接路径时仍会向上穿越。

常见错误写法：

filename = request.args.get('file')
safe_name = os.path.basename(filename)  # ❌ 对 ../../etc/passwd 返回 'passwd'
with open(f'/var/www/static/{safe_name}') as f:  # 实际打开 /etc/passwd
    return f.read()

os.path.basename 不解析路径语义，不处理 .. 或 .
它在 Unicode 或编码边界（如 %2e%2e%2f）下也无作用
若服务端启用了 URL 解码（Flask/Django 默认做），攻击载荷可能在到达你的代码前就已还原

正确做法：用 `os.path.realpath` + 白名单目录比对

核心思路是让系统真正解析路径，再确认最终位置是否落在允许范围内。不能只靠字符串操作，必须依赖操作系统级路径归一化。

示例（Flask 场景）：

import os
<p>BASE_DIR = '/var/www/static'</p><div class="aritcle_card flexRow artxards">
											<div class="artcardd flexRow">
												<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill4102" title="Shadows Python Sensei"><img
														src="https://img.php.cn/upload/skill/000/000/081/178990406882325.jpg" alt="Shadows Python Sensei" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
												<div class="aritcle_card_info flexColumn">
													<a rel="nofollow" href="/xiazai/skill4102" title="Shadows Python Sensei" class="overflowclass">Shadows Python Sensei</a>
													<p class="overflowclass">Python 最佳实践助手——代码规范、设计模式、性能优化、测试与类型注解。适用于编写或审查 Python 代码。</p>
												</div>
												<a rel="nofollow" href="/xiazai/skill4102" title="Shadows Python Sensei" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
												</a>
											</div>
										</div><p>@app.route('/download')
def download():
filename = request.args.get('file', '')
if not filename:
return 'Missing file', 400</p><pre class="brush:php;toolbar:false;"># 拼接并解析为绝对、真实路径
full_path = os.path.join(BASE_DIR, filename)
real_path = os.path.realpath(full_path)

# 关键：检查 real_path 是否仍在 BASE_DIR 下
if not real_path.startswith(os.path.abspath(BASE_DIR) + os.sep):
    return 'Access denied', 403

if not os.path.isfile(real_path):
    return 'Not found', 404

return send_file(real_path)