NodeJSのupperへのリクエストurlを保護する方法は？

Question

私は自分の目的のために純粋なNodeJSでシンプルなサーバーを開発しようとしています。私が最近気づいた問題は、ローカルマシン上のWebからupperまたは他の場所に行く可能性があるということです。パスに../../../のようなものを追加してください。私のサーバーは次のようになります：

var server = require('http').createServer(function(request, response) { 
    var file_path = './web' + request.url; 

    if (file_path == './web/') 
     file_path = file_path + 'index.html'; 

    var extname = path.extname(file_path); 

    switch (extname) { 
     case '.js': 
      content_type = 'text/javascript'; 
      break; 
     case '.css': 
      content_type = 'text/css'; 
      break; 
     case '.json': 
      content_type = 'application/json'; 
      break; 
     default: 
      content_type = 'text/html'; 
      break; 
    } 


    fs.readFile(file_path, 'utf8', function (err, data) { 
     if (err) { 
      response.writeHead(404); 

      return response.end('Error loading ' + request.url); 
     } 

     response.writeHead(200, {'Content-Type': content_type}); 

     return response.end(data); 
    }); 
}); 

だから私はこのようなことから守る最良の方法は何ですか？

Answer 1

ウェブファイルのルートが/web/filesで、その階層外のリクエストが処理されないようにしたいとします。あなたは、このような結果のパスを確認することで、すべての.と..を処理するためにpath.normalize()を使用することができます。

var path = require('path'); 

var file_path = '/web/files' + request.url; 
var resolvedPath = path.normalize(file_path); 
if (resolvedPath.indexOf('/web/files/') !== 0) { 
    // illegal request 
} 

あなたはおよそpath.normalize()hereを読むことができます。パス内のすべての.と..セグメンテーションを解決するので、実際のパスがどのように見えるかを確認し、それが正当なパスであるかどうかを確認できます。

---

あるいは、効用関数の：私は純粋なJSでそれをやろうとしている上に書いたように

var webFiles = '/web/files'; 
var file_path = webFiles + request.url; 
if (!isPathContained(file_path, webFiles)) { 
    // illegal request 
} 

Answer 2

これにはExpress.js Static Filesを使用してください。