本文详解如何通过弃用不安全的system.getproperty("java.io.tmpdir")并改用files.createtempdirectory()，彻底规避fortify报告的path manipulation漏洞，确保临时文件路径不可被恶意操控。
本文详解如何通过弃用不安全的system.getproperty("java.io.tmpdir")并改用files.createtempdirectory()，彻底规避fortify报告的path manipulation漏洞，确保临时文件路径不可被恶意操控。
Fortify 报告的 Path Manipulation（路径操纵） 漏洞，本质源于对不受控外部输入（包括系统属性）直接用于文件系统路径构造——即使调用了 normalize() 或正则校验，也无法消除根本风险：System.getProperty("java.io.tmpdir") 的返回值可能被环境变量、启动参数或容器配置篡改（例如通过 -Djava.io.tmpdir=/attacker/control/path），导致 Paths.get(path) 构造出攻击者可控的父目录，进而使 createTempFile() 在任意位置写入文件，构成任意文件写入或路径遍历风险。
您原代码中的两处修复尝试均存在缺陷：
- ✅ normalize() 仅规范化路径格式（如 ./、../），但无法阻止合法但恶意的路径字符串（如 /tmp/../../etc/ 经 normalize 后仍为 /etc/）；
- ❌ 正则 ALLOWABLE_CHARS 仅校验字符集，完全忽略语义合法性：/tmp/../../../root/.ssh 符合 [\/a-zA-Z0-9_\-~:]+，却严重越权。
✅ 正确解法是彻底避免依赖外部可控路径，转而使用 Java NIO.2 提供的安全临时路径 API：
public static void generateZipFile(MultipartFile file) throws IOException {
// ✅ 安全：由 JVM 自动选择并创建受保护的临时目录（权限隔离、路径不可预测）
Path tempDir = Files.createTempDirectory("zip_upload"); // 自动在系统默认临时区创建唯一子目录
// ✅ 安全：基于可信临时目录创建文件，父路径完全可控
Path tempFile = Files.createTempFile(tempDir, "prefix", ".zip");
// 将 MultipartFile 写入临时文件
try (InputStream is = file.getInputStream();
OutputStream os = Files.newOutputStream(tempFile)) {
is.transferTo(os);
}
// 后续处理逻辑（如解压、校验等）...
}
关键优势说明：
- Files.createTempDirectory() 由 JVM 底层保障：自动选用操作系统安全的临时目录（如 Linux 的 /tmp 下带随机后缀的子目录），且设置严格权限（rwx------），防止跨用户访问；
- 返回的 Path 是已解析、绝对、规范化的路径，无需手动 normalize()；
- 全程不涉及任何字符串拼接或正则过滤，从根源切断攻击面。
⚠️ 注意事项：
- 避免将 tempDir 路径暴露给前端或日志（防止信息泄露）；
- 使用后务必显式清理临时资源（推荐 try-with-resources + Files.deleteIfExists()）；
- 若业务强制要求指定父目录，请确保该目录为应用专属、权限锁定（如 chmod 700 /app/tmp），且绝不接受用户输入或系统属性动态决定。
综上，路径操纵漏洞的防御核心不是“过滤”，而是“隔离”——通过 Files.createTempDirectory() 建立可信执行上下文，让临时路径脱离攻击者控制域，这才是 Fortify 认可的安全实践。
