我想测试用户给出的路径是否像这样：
my/down/path
在对面：
this/path/../../go/up
出于安全原因。
我已经做了这个：
return (bool)preg_match('#^([a-z0-9_-])+(\/[a-z0-9_-])*$#i', $fieldValue);
但是应该允许用户在他的路径中使用'.'（例如：my/./path，这没什么用但他可以），我不知道如何考虑。
然后我正在寻找一个安全的正则表达式来检查这个。
谢谢
编辑：在查看答案后，如果测试检查真实路径（删除 '.' 和 '..'）是否是下行路径，那就没问题了。
【问题讨论】：
标签： php regex security path filepath
您可以简单地检查用户提供的路径的真实路径是否以允许的路径开头：
function isBelowAllowedPath($allowedPath, $pathToCheck)
{
return strpos(
realpath($allowedPath . DIRECTORY_SEPARATOR . $pathToCheck),
realpath($allowedPath)
) === 0;
}
请注意，对于$allowedPath 下面不存在的目录，这也会返回false。
【讨论】：
realpath 的确切需求，这可能不适用。 realpath 要求路径名存在，即您不能使用此检查来创建新路径。此外，realpath 将在 Phar 档案等某些边缘情况下失败。
您可能不想检查路径是否不包含..，而是想检查如果作为整体评估，它不会上升。例如。 ./path/.. 仍在 . 中，即使它包含 ..。
你可以找到path depth validation in Twig的实现：
$parts = preg_split('#[\\\\/]+#', $name);
$level = 0;
foreach ($parts as $part) {
if ('..' === $part) {
--$level;
} elseif ('.' !== $part) {
++$level;
}
if ($level < 0) {
return false;
}
}
return true;
Twig 不使用realpath 进行验证，因为realpath 在 Phar 档案中的路径存在问题。此外，realpath 仅在路径名已存在时才有效。
【讨论】：
先前的响应（包括接受的响应）地址路径深度但不是路径遍历。由于问题特别提到这是出于安全考虑，因此到目前为止所述的随意检查可能还不够。
例如，
假设我向您的脚本发送一个字符串，例如./..%2f../？这个字符串将我提升两个级别对您的应用程序很重要吗？或者其他答案中提供的脚本不会捕捉到这一点，因为它没有评估为..？
./\.\./ 呢？如果通过拆分\ 和/ 来解析路径，则接受的答案中的脚本不会捕获它，因为每个部分看起来都像.，这只是当前目录。但是典型的 UNIX shell 将 \ 视为转义字符，因此传递它 ./\.\./ 等效于 ./../，因此攻击者可以利用脚本结合了 UNIX 和 Windows 样式路径的测试这一事实。
如果您所说的“安全性”真的是指您想提供针对偶然错误和拼写错误的保护，那么其他答案可能就足够了。如果您正在为恶劣的环境进行编程并希望防止故意攻击造成的破坏，那么它们几乎不会触及表面，建议您阅读 OWASP 的安全编程知识。我将从他们的articles on Path Traversal 开始，然后阅读他们概述的其他攻击以及如何避免它们，更重要的是，如何测试它们。
【讨论】：
./\.\./ 拆分字符串，我已经创建了一个检查 DIRECTORY_SEPARATOR 常量并将 / 或 \ 替换为相反的函数。我认为它解决了问题。
$folders = $explode('/', $path);
if (in_array('..', $folders)) {
print('Error: path contains ..');
}
【讨论】：
.. 仍然可能导致路径低于允许路径，例如当/only/data/below/here 然后/only/data/below/here/foo/.. 仍然可以。
..，你会怎么走？
/path/to/dir/../../to/dir/samefile
..。所以这是不可能的。
/path/to/dir/../../to/dir/samefile = /path/to/dir/samefile，应该是有效的。
如果您只想限制用户在路径层次结构中向上，您可以显式搜索'..'：
if (1 === preg_match('/\.\./', $path)) {
/* path contains .. */
}
这也比explode和in_array更快。
基准测试：
<?php
$attempts = 100000;
$path = 'my/path/with/../invalid';
$t = microtime(true);
for ($i = 0; $i < $attempts; ++$i) {
$folders = explode('/', $path);
if (in_array('..', $folders)) {
/* .. in path */ ;
}
}
$end = microtime(true);
printf("in_array: %f\n", $end - $t);
$t = microtime(true);
for ($i = 0; $i < $attempts; ++$i) {
if (1 === preg_match('/\.\./', $path)) {
/* .. in path */ ;
}
}
$end = microtime(true);
printf("preg_match: %f\n ", $end - $t);
in_array: 0.088750
预匹配：0.071547
【讨论】：