Java路径遍历漏洞修复遇阻：Gitlab SAST仍标记漏洞求解决方案

你的现有修复存在几个关键缺陷，导致Gitlab SAST仍会判定为路径遍历漏洞：

• 仅检查../太局限，攻击者可以用..\（Windows环境）、URL编码后的%2e%2e/、甚至嵌套的././等方式绕开检测
• 对比canonicalPath和absolutePath只能排除符号链接的情况，但无法限制文件必须落在你预期的安全目录内，直接传入/etc/passwd这类绝对路径仍能绕过检查

有效修复方案：强制文件落在指定安全目录 #

核心思路是限制所有待访问的文件必须在预先定义的合法目录下，不管攻击者用什么路径变形手段，都无法突破这个范围。

代码示例：

import java.nio.file.Files;
import java.nio.file.Path;
import java.nio.file.Paths;
import java.nio.file.InvalidPathException;
import java.io.IOException;

public Config(String filename) throws IOException {
    // 定义固定的安全基准目录，比如你的配置文件存放的专属目录
    Path allowedBaseDir = Paths.get("/opt/your-app/config-files")
                               .toAbsolutePath()
                               .normalize();

    try {
        // 解析输入路径，转换为绝对路径并规范化（自动处理../、./等）
        Path targetPath = Paths.get(filename)
                               .toAbsolutePath()
                               .normalize();

        // 检查目标路径是否是安全目录的子路径
        if (!targetPath.startsWith(allowedBaseDir)) {
            throw new SecurityException("非法路径：禁止访问安全目录外的文件");
        }

        // 可选：验证文件存在且为普通文件，避免目录或特殊文件的访问
        if (!Files.exists(targetPath) || !Files.isRegularFile(targetPath)) {
            throw new IOException("文件不存在或不是合法文件：" + filename);
        }

        // 验证通过，设置文件
        setFile(targetPath.toFile());
    } catch (InvalidPathException e) {
        throw new SecurityException("路径格式非法：" + filename, e);
    }
}

关键修复点说明 #

1. 固定基准目录：必须用绝对路径且规范化，避免基准目录自身包含相对路径导致的漏洞
2. 路径规范化：normalize()会自动解析所有..、.、重复路径分隔符，彻底消除路径遍历的变形手段
3. 子路径检查：startsWith()确保目标文件严格在安全目录内，这是Gitlab SAST认可的有效防护手段
4. 异常处理：覆盖路径格式错误的场景，避免解析失败导致的潜在安全问题

额外注意事项 #

• 如果文件名来自Web请求参数，要先做URL解码再处理，防止编码后的路径绕过检测
• 不要动态生成基准目录，必须是硬编码或从可信配置源读取的固定路径
• 测试时可以用../config/valid-file.properties、/etc/passwd这类恶意路径验证防护效果

内容的提问来源于stack exchange，提问作者pankaj543