使用readlink函数避免文件路径打开时的符号链接竞争条件

这个方法的核心逻辑是利用进程当前工作目录（CWD）的私有性——其他进程绝对无法修改你的进程的CWD——把完整路径拆成一段段处理，每一步都在可控的上下文里验证、跳转，彻底消除“检查时路径安全，打开时被篡改”的TOCTOU窗口。

核心前提：进程CWD是私有资源 #

Unix/Linux中，每个进程的当前工作目录是进程的私有状态，只有进程自己能通过chdir/fchdir修改它。其他进程哪怕有文件系统权限，也没法直接改变你的CWD。这是整个方案的基石。

具体操作步骤（以FTP服务器场景为例） #

假设你要处理用户请求的路径user_files/private/notes.txt，且服务器限制用户只能访问自己的/home/ftp_user目录下的文件：

1. 从可信起始点切入
   先调用chdir("/home/ftp_user")切换到用户的根目录——这个目录是预先验证过安全的，作为整个路径遍历的起点。

2. 逐段拆解路径，逐一处理
   将完整路径拆成user_files、private、notes.txt三个段，依次处理每个段：

   • 处理user_files段：
     1. 用lstat("user_files", &stat_buf)检查当前CWD下的这个条目：确认它是目录、权限符合安全策略（比如用户有访问权）。
     2. 确认安全后，调用chdir("user_files")切换到该目录——此时你的CWD变为/home/ftp_user/user_files，这个状态只有你能改变。
   • 处理private段：
     重复上述步骤：用lstat验证当前CWD下的private是合法目录，然后chdir进入，CWD更新为/home/ftp_user/user_files/private。
   • 处理notes.txt段：
     1. 用lstat检查当前CWD下的notes.txt是普通文件、权限允许读取。
     2. 直接调用open("notes.txt", O_RDONLY)打开文件——因为CWD是可控的，此时打开的必然是你刚验证过的文件，不会被篡改。

3. 处理符号链接的关键：readlink展开+递归验证
   如果路径中包含符号链接（比如user_files/link_to_private/notes.txt，其中link_to_private指向../private）：

   • 当处理link_to_private段时，先调用readlink("link_to_private", link_buf, sizeof(link_buf))读取符号链接的目标路径（这里是../private）。
   • 验证目标路径的合法性：
     • 检查目标路径是否为绝对路径（如果是，直接拒绝，因为会跳出用户根目录）。
     • 把目标路径拆成新的段（..和private），然后从当前CWD出发，逐段验证这些新段：
       • 处理..：检查当前CWD/home/ftp_user/user_files的父目录是/home/ftp_user，属于用户允许的范围，然后chdir("..")切换过去。
       • 处理private：验证是合法目录，chdir进入。
   • 继续处理后续的notes.txt段，流程和之前一致。

为什么能避免TOCTOU和符号链接竞争？ #

• 无篡改窗口：每一步操作都基于当前的CWD，而CWD是你的进程私有资源。其他进程可以修改文件系统中的条目，但你在验证某一段后，立即切换到该目录（或打开文件），且后续操作的上下文是你自己的CWD——哪怕其他进程在你验证后修改了原条目，也不会影响你已经切换后的CWD里的操作。
• 符号链接全程可控：用readlink提前展开符号链接的目标，然后逐段验证目标路径是否在安全范围内，彻底避免恶意符号链接把你导向禁止访问的目录（比如/etc/passwd）。

补充：现代系统的优化方案 #

现在Unix/Linux提供了openat、fchdir、fdopendir等基于文件描述符的函数，可以进一步强化安全性：

• 你可以打开起始目录的文件描述符（int root_fd = open("/home/ftp_user", O_RDONLY | O_DIRECTORY)），然后用openat(root_fd, "user_files", O_RDONLY | O_DIRECTORY)来打开子目录，全程用文件描述符操作，不需要频繁切换CWD，原理和逐段遍历一致，但更简洁。

内容的提问来源于stack exchange，提问作者Plastic