如何解决Node.js代码中的PATH_MANIPULATION Coverity问题？

Coverity报PATH_MANIPULATION，本质是担心代码中存在不可信输入构造路径导致遍历风险。你的代码虽然做了字符过滤，但工具可能仍对路径拼接逻辑存在顾虑，以下是针对性的解决办法：

• 彻底消除不可信输入依赖
  既然fileName是生成的时间戳（完全可控），直接构造安全文件名即可，不需要依赖正则替换，从根源避免风险：

  const timestamp = moment(new Date()).format('YYYYMMDDHHmmss');
  const sanitizedFileName = `sample_${timestamp}.xlsx`;
  

• 替换path.join为直接拼接
  path.join会处理相对路径（比如../），虽然你的过滤规则会移除..，但Coverity可能仍会触发告警。直接拼接固定路径和安全文件名更稳妥：

  const dirPath = 'DIR/TEST/';
  const key = `${dirPath}${sanitizedFileName}`;
  

• 添加路径合法性校验
  额外校验最终生成的S3 key，确保它完全符合预期格式，杜绝任何潜在的遍历可能：

  if (!key.startsWith(dirPath) || key.includes('../') || key.includes('..\\')) {
    throw new Error('Invalid S3 key: potential path traversal detected');
  }
  

修改后的完整代码示例：

const timestamp = moment(new Date()).format('YYYYMMDDHHmmss');
const sanitizedFileName = `sample_${timestamp}.xlsx`;
const dirPath = 'DIR/TEST/';
const key = `${dirPath}${sanitizedFileName}`;

// 校验路径合法性
if (!key.startsWith(dirPath) || key.includes('../') || key.includes('..\\')) {
  throw new Error('Invalid S3 key detected');
}

const uploadData = { 
  Bucket: process.env.bucketName, 
  body: fileBuffer, 
  key: key
};
await uploadToS3(uploadData);

这样修改后，所有路径组件都完全可控，没有任何不可信输入的介入，Coverity的PATH_MANIPULATION告警会被消除。

内容的提问来源于stack exchange，提问作者Daliya chacko