在Debian中从Node.js服务器下载无名称文件时遭遇NotFoundError

嘿，我来帮你搞定这个问题——你遇到的情况是Node.js底层的send模块（也就是res.sendFile依赖的库）默认会拦截以.开头的隐藏文件，这是它的默认安全策略，所以才会抛出NotFoundError。下面给你两种靠谱的解决办法：

问题本质 #

在Debian这类Unix/Linux系统里，.开头的文件属于隐藏文件，send库为了安全起见，默认不会处理这类文件的请求，所以当你请求/public/.txt或者/public/.exe时，它直接判定文件不存在，就抛出了找不到文件的错误。

解决方案 #

方法一：给res.sendFile添加配置项 #

直接修改你现有的路由代码，加上dotfiles: 'allow'选项，明确告诉模块允许访问隐藏文件：

var publicPath = __dirname + '/public';
app.get('/public/*', function (req, res) {
  var file = publicPath + req.path;
  // 添加dotfiles配置，同时可选添加错误处理逻辑
  res.sendFile(decodeURI(file), { dotfiles: 'allow' }, function(err) {
    if (err) {
      res.status(err.status || 500).end();
    }
  });
});

方法二：用express.static中间件（更推荐） #

如果你的/public目录本来就是用来托管静态文件的，其实没必要自己写路由处理，直接用Express内置的express.static中间件，同样配置允许隐藏文件就行：

const express = require('express');
const app = express();

// 配置静态目录并允许访问隐藏文件
app.use('/public', express.static(__dirname + '/public', { dotfiles: 'allow' }));

这样所有/public下的文件请求（包括隐藏文件）都会被自动处理，代码更简洁规范。

安全提醒 #

开启dotfiles: 'allow'之后要注意：千万别把敏感文件（比如.env、.gitconfig这类包含配置信息的文件）放在public目录里，不然可能会被他人下载到。另外，为了防止路径遍历攻击，建议用path.resolve规范文件路径，再做个目录校验：

const path = require('path');
var publicPath = path.resolve(__dirname, '/public');

app.get('/public/*', function (req, res) {
  var file = path.resolve(publicPath, req.path);
  // 确保请求的文件在public目录范围内，防止恶意路径遍历
  if (!file.startsWith(publicPath)) {
    return res.status(403).send('Forbidden');
  }
  res.sendFile(file, { dotfiles: 'allow' });
});

内容的提问来源于stack exchange，提问作者Jake