路径遍历漏洞：一个下载接口引发的系统文件

那天我测一个医疗平台的下载接口，把链接里的文件名换成一串“往上退”的符号。服务器回了200，接着把系统口令文件一行行打了出来。

这漏洞叫路径遍历。正常下载是固定目录加上你传的文件名。你传“往上退”，它就跟着退到根目录去拿东西。说白了，就是没告诉它只能在哪个柜子里拿。

有人会说：把“往上退”过滤掉不就行了？根本没用。攻击者能把它写成百分号编码、双重编码，甚至塞个空字节截断后缀。黑名单永远追不上变形速度，白名单才是终点。

修法就两条路：要么用编号代替真实文件名，用户只碰编号；要么先规范化路径，再判断它是不是还在允许的根目录里。顺序不能反，先过滤再规范化等于没防。

真正的安全问题，往往是被“应该没事吧”这四个字打穿的。