如何转义路径类用户输入？邮件服务器客户端路径注入问题求助

问题分析 #

你当前的代码直接使用用户输入的主题（msg.at(1)）拼接文件名，这会引发路径遍历攻击——比如用户输入../malicious/filename，文件会被创建到mailspooler/user/../malicious/这类非预期目录，突破了预设的存储边界。

核心解决方案：清理非法路径字符 #

要彻底解决这个问题，必须过滤或替换主题中所有会干扰路径解析的字符，确保生成的文件名仅包含安全内容。以下是两种可靠的实现方式：

1. 过滤/替换非法字符（推荐） #

定义允许的字符集合，移除或替换所有不在集合内的字符，比如只保留字母、数字、空格和少量安全标点：

std::string sanitize_filename(const std::string& input) {
    std::string result;
    for (char c : input) {
        // 允许字母、数字、空格，以及-_!.这类安全标点
        if (std::isalnum(static_cast<unsigned char>(c)) || 
            c == ' ' || c == '-' || c == '_' || c == '.' || c == '!') {
            result += c;
        } else {
            // 把非法字符替换为下划线，也可以直接移除
            result += '_';
        }
    }
    // 避免文件名以点开头（防止生成隐藏文件或触发目录遍历）
    if (!result.empty() && result.front() == '.') {
        result = "_" + result.substr(1);
    }
    // 处理空文件名的极端情况
    return result.empty() ? "untitled" : result;
}

2. 利用filesystem库剥离路径信息 #

C++17的std::filesystem可以直接提取路径中的纯文件名部分，剥离所有目录层级：

std::string sanitize_filename(const std::string& input) {
    fs::path temp_path(input);
    // 获取路径中仅有的文件名部分（去掉所有目录前缀）
    std::string raw_filename = temp_path.filename().string();
    // 再对纯文件名做非法字符过滤
    return sanitize_filename(raw_filename); // 复用上面的过滤函数
}

修改你的代码 #

将创建文件的代码段替换为以下内容，先清理主题再生成安全文件名：

// 清理用户输入的主题，生成安全文件名
std::string safe_subject = sanitize_filename(msg.at(1));
// 使用安全文件名创建文件
std::ofstream user_msg(std::to_string(index + 1) + ". " + safe_subject);

额外安全优化建议 #

• 避免频繁切换当前目录：依赖current_path容易因并发或权限问题出错，建议直接用绝对路径拼接，比如fs::path user_dir = mailspooler / msg.at(0);，再用user_dir / safe_filename创建文件，从根源避免路径切换带来的风险。
• 验证收件人目录合法性：确保收件人目录确实在mailspooler范围内，比如用fs::canonical(user_dir).starts_with(fs::canonical(mailspooler))验证，防止收件人名称包含../这类路径字符。
• 替换低效的文件计数方式：std::distance(fs::directory_iterator(...))效率低且存在并发安全问题，建议给每个用户目录维护一个持久化计数器（比如next_index.txt），记录下一个要使用的文件索引。

内容的提问来源于stack exchange，提问作者user15967184