使用access()进行文件存在性检查是否会引入TOCTOU漏洞？

首先明确：access()因TOCTOU（时间检查到时间使用）臭名昭著，主要是因为权限检查场景下的安全风险，比如这段经典的危险代码：

int write_file(const char* path)
{
    if (access(path, W_OK))
        return BAD_FILE;
    ...
    FILE* file = fopen(path, "w");
    ...
}

在access()检查完文件写权限后，到fopen()执行前的时间窗口内，攻击者可以将path指向的文件替换为/etc/passwd这类系统敏感文件的符号链接。如果程序运行权限足够，就会直接写入敏感文件，这就是典型的TOCTOU漏洞。POSIX.1-2024及Linux手册页也明确不推荐使用access()，因为它返回的文件状态信息很可能已经过时。

回到核心问题：用access()的F_OK模式仅检查文件存在性，是否会引入TOCTOU安全漏洞？我们分场景分析：

场景1：文件写入前检查存在性 #

int write_file(const char* path)
{
    if (access(path, F_OK))
        return NO_FILE;
    ...
    FILE* file = fopen(path, "w");
    ...
}

这里的access()检查完全冗余——fopen("w")本身会处理文件不存在的情况。攻击者可能在access()和fopen()之间删除文件，但只要程序正确检查fopen()的返回值（比如判断file是否为NULL并处理错误），只会触发正常的错误流程，不会造成越权操作、数据破坏等安全问题。

场景2：选择第一个存在的文件 #

int pick_file(const char** paths, int count)
{
    for (int i = 0; i < count; i++) {
        ...
        if (!access(paths[i], F_OK))
            return i;
    }
    return -1;
}

这个函数返回第一个被检查到存在的文件索引，但存在状态不一致的风险：access()检查时文件存在，但返回索引后到调用方操作该文件前，文件可能已被删除。

但这算不算安全漏洞？取决于调用方的处理：

• 如果调用方操作文件时依然会检查状态（比如判断fopen是否成功），那最多是功能异常，不属于安全问题；
• 如果调用方基于“文件一定存在”的假设跳过错误检查，执行危险操作（比如直接写入或执行），才可能引发问题，但这本质是调用方的逻辑错误，而非access()存在性检查直接导致的安全漏洞。

结论 #

使用access()做文件存在性检查本身不会直接引发TOCTOU安全漏洞，但会引入“检查时存在、操作时不存在”的状态不一致风险。不过只要后续操作文件时正确处理错误（比如校验系统调用的返回值），就不会造成安全问题。

从健壮性和最佳实践角度，建议直接跳过access()的前置检查，在实际操作文件时处理状态变化——毕竟任何前置检查都无法保证后续操作时文件状态完全不变。

内容的提问来源于stack exchange，提问作者McDaMastR