Go filepath.Rel 返回带 .. 的路径时怎么判断越界

判断 filepath.Rel 是否越界，不能只看返回字符串里有没有两个点。正确做法是先计算根目录到目标路径的相对结果，再拒绝结果恰好是 ..，或以 .. 加路径分隔符开头的情况。这样根目录本身返回 .、根目录下的文件返回 docs/readme.md，而外部路径才会被识别出来。

先把“越界”定义成相对路径关系

filepath.Rel 做的是词法路径计算：它回答“从 base 走到 target 需要经过怎样的相对路径”。如果 target 在 base 外部，结果通常会带一个或多个父目录段。例如根目录是 /srv/site，目标是 /srv/tmp/a.txt，相对结果就是 ../tmp/a.txt。

先处理错误很重要。不同盘符、不同卷或不兼容的路径格式，可能根本无法得到可靠的相对结果；这类输入应直接拒绝，而不是把空字符串当成安全结果。

用 filepath.Rel 判断相对路径是否离开根目录

最小可复用判断可以写成下面这样。关键是只检查相对路径的第一个完整路径段，避免把 ..data 这种普通文件名误判成父目录。

package main

import (
    "path/filepath"
    "strings"
)

// withinRoot 只做词法判断：确认 target 位于 base 内或就是 base。
func withinRoot(base, target string) (bool, error) {
    // Rel 的第一个参数是起点，第二个参数是目标。
    rel, err := filepath.Rel(base, target)
    if err != nil {
        // 不同卷或不兼容路径无法比较时，宁可拒绝。
        return false, err
    }

    // 只匹配完整的父目录段，不误伤 ..data 等普通名称。
    parent := ".." + string(filepath.Separator)
    escaped := rel == ".." || strings.HasPrefix(rel, parent)
    return !escaped, nil
}

这里 . 表示目标就是根目录，images/logo.svg 表示目标在根目录内，.. 和 ../tmp/a.txt 才表示已经走出根目录。不要写成 strings.Contains(rel, "..")，否则名为 release..data 的合法文件也可能被拒绝。

词法判断和真实文件保护不是一回事

上面的 helper 只比较字符串展开后的路径关系，并不会解析符号链接，也不能阻止检查之后路径在文件系统中发生变化。若输入来自用户、压缩包或上传文件名，Go 1.20+ 可以先用 filepath.IsLocal 判断它是否为空、绝对路径或会离开当前目录；这比自己拼接多种平台规则更稳。

如果程序要真的在固定目录内打开不可信文件，Go 1.24+ 可用 os.OpenInRoot，或先 os.OpenRoot 再使用 root 的方法。它把目录边界交给文件系统相关实现处理，连越过边界的符号链接也会被拒绝。老版本仍需结合符号链接策略、权限隔离和 TOCTOU 风险评估，不能只靠一次 Rel 检查。

用边界样例把判断固定下来

最终可以把规则记成一句话：Rel 出错就拒绝；结果是 .. 或以父目录段开头就拒绝；其余结果只代表词法上没有越界。若后面紧接着要打开文件，再升级到 IsLocal 或 os.OpenInRoot。

相关问题

filepath.Rel 返回空字符串是不是安全？

不是。正常的相对结果通常是 . 或具体路径；空结果不能替代错误处理，应先确认 err。

为什么不直接比较 filepath.Clean 后的前缀？

字符串前缀会把 /srv/site2 误当成 /srv/site 的子目录，而且无法覆盖跨平台分隔符与符号链接问题。

归档解压只用这个 helper 可以吗？

如果解压目标受攻击者控制，不建议只用词法判断。应使用目录受限的打开或创建 API，并额外考虑符号链接和权限。