使用express.static时，含私有文件的Express服务器是否存在目录越权风险？

嘿，你的这个担心非常接地气——毕竟路径遍历（就是你说的“向上跳转一级”）是Web服务里常见的安全坑，但好在Express的express.static中间件默认就帮你把这个漏洞堵上了，你的当前实现是安全的。

为什么不会被绕过？ #

Express的静态文件中间件会自动对请求路径做规范化处理：它会解析所有的../、./这类相对路径符号，把路径转换成绝对路径后，再和你指定的静态目录做比对，确保最终访问的文件一定在你设定的目录范围内。

举个实际的例子：如果有人想搞事情，发个public/../private/secret.txt的请求，中间件会先把路径规范化成private/secret.txt，但这个路径已经超出了public目录的范围，所以中间件会直接返回404，根本不会去读取private里的文件。

你的代码实现没问题 #

看你写的这段代码：

app.use(express.static(path.join(__dirname, 'public')));
app.use('/private', requireAuth, express.static(path.join(__dirname, 'private')));

• 第一个express.static只会处理public目录下的资源，任何试图跳出这个目录的请求都会被拦截，返回404。
• 第二个/private路由下的静态服务，必须先通过requireAuth的授权校验，而且同样会被中间件的路径规范化机制保护，就算过了授权，也没法通过路径跳转访问private目录外的文件。

可以再加些安全加固 #

虽然默认已经安全，但给你两个额外的小建议：

• 保持用path.join(__dirname, ...)来生成绝对路径，避免因相对路径导致的意外问题（你已经这么做了，很棒）。
• 可以给express.static加上dotfiles: 'deny'配置，阻止访问隐藏文件（比如.env这类存敏感信息的文件）：

  app.use(express.static(path.join(__dirname, 'public'), {
    dotfiles: 'deny'
  }));
  

• 别忘了定期检查你的requireAuth中间件逻辑，确保授权头的验证没有漏洞，比如正确校验token的有效性，防止被伪造。

内容的提问来源于stack exchange，提问作者wbruntra