PHP8.4 如何修复 PHP 原生代码路径遍历漏洞-php教程-PHP中文网

php 8.4 不自动修复路径遍历漏洞，该漏洞源于开发者未校验用户输入路径，需通过 realpath() 标准化+白名单校验、禁用动态文件操作、后缀硬校验及 web 服务器层拦截等措施主动防御。

php8.4 如何修复 php 原生代码路径遍历漏洞

PHP 8.4 本身不自动修复路径遍历漏洞，这类漏洞完全由开发者代码逻辑缺陷引起，与 PHP 版本无关。但 PHP 8.4 提供了更严格的默认行为和更强的工具支持，配合正确编码实践，可高效阻断路径遍历攻击。

明确路径遍历漏洞的根源

路径遍历（Directory Traversal）本质是：用户输入未经规范化、未限定范围，就直接拼入文件系统操作。典型错误写法如：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

$file = $_GET['file'];  
$content = file_get_contents('/var/www/uploads/' . $file); // 危险！

当传入 ../../../etc/passwd 时，就会越权读取敏感系统文件。

关键修复步骤（PHP 8.4 推荐做法）

强制路径标准化 + 根目录白名单校验
使用 realpath() 解析完整绝对路径，再检查是否落在允许范围内：

$baseDir = '/www/wwwroot/example.com/uploads/';  
$userInput = $_GET['file'] ?? '';  
$fullPath = realpath($baseDir . $userInput);  

if ($fullPath === false || strpos($fullPath, $baseDir) !== 0) {  
    http_response_code(403);  
    die('Access denied');  
}  
// 安全：$fullPath 确实属于 $baseDir 下的子路径

禁用危险函数的原始参数直传
避免 include($_GET['page'])、fopen($_POST['log']) 这类写法。改用映射表或 ID 查表机制：

$allowedFiles = ['report' => 'daily.pdf', 'config' => 'settings.json'];  
$key = $_GET['id'] ?? '';  
if (!isset($allowedFiles[$key])) {  
    die('Invalid file');  
}  
readfile('/safe/path/' . $allowedFiles[$key]);

后缀白名单硬校验（尤其对下载/读取场景）
提取扩展名并严格比对，拒绝非业务必需类型：

$ext = strtolower(pathinfo($userInput, PATHINFO_EXTENSION));  
$whitelist = ['pdf', 'txt', 'jpg', 'png', 'csv'];  
if (!in_array($ext, $whitelist)) {  
    die('Unsupported file type');  
}

Web 服务器层兜底防护（Nginx/Apache）
在宝塔或手动配置中添加规则，拦截含 ../ 或敏感路径的请求：

# Nginx 示例：拒绝 URL 中出现 .. 的所有请求
if ($args ~ "../") { return 403; }
location ~ ^/(config|data|runtime|vendor)/ { deny all; }

不推荐的“修复”方式（PHP 8.4 下尤其无效）

仅用 str_replace(['../', '..\'], '', $input) 过滤——易被双编码（%2e%2e%2f）、大小写（..%c0%ae）、多斜杠（.//./）绕过
依赖 open_basedir 作为唯一防线——它只限制 PHP 文件操作函数，对 exec('cat ' . $input) 类命令执行无效，且不能替代代码层校验
关闭 allow_url_fopen 或 disable_functions 来“防路径遍历”——这两者解决的是不同问题，无法阻止本地路径穿越