跨操作系統(tǒng)的文件路徑處理)
前言跨平臺路徑處理的典型事故現(xiàn)場開發(fā)在 Windows 上寫代碼測試環(huán)境是 Linux打包上線后讀取緩存目錄失敗報failed to open stream: No such file or directory但路徑打印出來看「明明是對的」?；蛘叻催^來代碼在 Linux 上跑得好好的同事拉下來在 Windows 上開發(fā)basename()返回了整個路徑日志分析腳本直接把完整路徑當文件名寫進了報告。這類問題的根因只有一個路徑是字符串而字符串里的分隔符在不同系統(tǒng)上不是同一個字符。加上 Windows 還多了一堆別人沒有的東西——盤符、UNC 路徑、大小寫不敏感、MAX_PATH長度限制——用「拼接字符串」的思路寫路徑必然會在某個平臺上翻車。標題把這件事掛在 PHP 8.0 上這里要說清楚跨平臺路徑處理不是 PHP 8.0 引入的特性路徑相關的常量和函數(shù)DIRECTORY_SEPARATOR、PATH_SEPARATOR、basename()、dirname()、realpath()在更早的版本里就存在。PHP 8.0 對這件事的實際貢獻是三個新的字符串函數(shù)——str_contains()、str_starts_with()、str_ends_with()——它們讓「判斷路徑前綴」「判斷目錄歸屬」這類操作不用再寫substr()加偏移量本文就按 PHP 8.0 及以上的寫法來講。一、兩個分隔符別用混PHP 里和路徑有關的常量有兩個名字很像但用途完全不同常量Windows 上的值Linux/macOS 上的值用在哪DIRECTORY_SEPARATOR\/目錄層級分隔PATH_SEPARATOR;:include_path、PATH這類「多個路徑的列表」把PATH_SEPARATOR當成目錄分隔符用是一個很經(jīng)典的錯誤——它倆在某些系統(tǒng)上恰好都是單個字符跑起來不報錯只是行為詭異?php declare(strict_types1); // 需要 PHP 7.2PHP_OS_FAMILY 是 7.2 引入的 echo PHP_OS_FAMILY, PHP_EOL; // Windows / Linux / Darwin / BSD / Solaris / Unknown echo 目錄分隔符 . DIRECTORY_SEPARATOR . PHP_EOL; echo 列表分隔符 . PATH_SEPARATOR . PHP_EOL; // 只有當你要拼「多個目錄組成的搜索路徑」時才用它 $dirs [/opt/app/src, /opt/app/lib]; $includePath implode(PATH_SEPARATOR, $dirs); set_include_path($includePath . PATH_SEPARATOR . get_include_path());而DIRECTORY_SEPARATOR的使用場景比多數(shù)人想象的要少。原因是Windows 上的 PHP 同時接受/和\文件系統(tǒng)函數(shù)、include、require都能識別正斜杠反過來Linux 上的 PHP 完全不認\它會老老實實把反斜杠當成文件名的合法字符。所以寫進代碼里的路徑常量統(tǒng)一用/最省事在所有平臺上都能被 PHP 解析。DIRECTORY_SEPARATOR只在「要把路徑顯示給人看」或者「要交給外部程序比如在 Windows 上調用cmd」時才有必要用。拼接多個路徑段時用/拼再交給下面的規(guī)范化函數(shù)統(tǒng)一處理。二、真正的頭號殺手雙引號里的反斜杠在講拼接函數(shù)之前必須先講這個坑因為它比所有跨平臺問題加起來都更常見?php declare(strict_types1); // ? 雙引號字符串\n、\t、\r 會被當成轉義序列 $bad C:\path\to\new\file.txt; // \p → 原樣輸出 \p但 \t 是制表符、\n 是換行、\f 是換頁 echo $bad . PHP_EOL; // 輸出里出現(xiàn)換行和制表符路徑徹底廢掉 // ? 單引號字符串只有 \\ 和 \ 是轉義序列其余原樣保留 $good C:\path\to\new\file.txt; echo $good . PHP_EOL; // ? 或者用正斜杠從根上繞開這個問題 $better C:/path/to/new/file.txt; echo $better . PHP_EOL;單引號也不是萬能的結尾的反斜杠會轉義掉收尾的單引號。?php declare(strict_types1); // ? 解析錯誤末尾的 \ 把 轉義掉了 // $dir C:\temp\; // ? 寫成兩個反斜杠或者干脆用正斜杠 $dir C:\temp\\; $dir C:/temp/;在 PHP 8.0 下正確的做法是代碼里永遠寫正斜杠。需要接收用戶輸入的 Windows 路徑時在入口處統(tǒng)一替換掉反斜杠即可。三、寫一個 normalize把任意路徑變成統(tǒng)一形式跨平臺的本質是「內部只保留一種表示形式在邊界上轉換」。下面這個規(guī)范化的實現(xiàn)保持了..語義、保留了盤符與 URI 前綴可以放心用?php declare(strict_types1); // 需要 PHP 8.0用到 str_starts_with final class PathTool { /** * 把路徑規(guī)范化成「統(tǒng)一用 / 分隔、無 .、無冗余 ..、無重復分隔符」的形式。 * 保留 Windows 盤符、UNC 前綴和 URI 協(xié)議前綴。 */ public static function normalize(string $path): string { // 1) 反斜杠一律變正斜杠Windows 自己也認正斜杠反向則不行 $path str_replace(\\, /, $path); // 2) 摘出前綴file://、phar:// 這類協(xié)議或 C: 盤符或 UNC 的 // $prefix ; if (preg_match(#^([a-z][a-z0-9.\-]*://)#i, $path, $m) 1) { $prefix $m[1]; $path substr($path, strlen($prefix)); } elseif (preg_match(#^([A-Za-z]:)#, $path, $m) 1) { $prefix $m[1]; $path substr($path, 2); } elseif (str_starts_with($path, //)) { $prefix //; $path substr($path, 2); } $isAbsolute str_starts_with($path, /); $segments []; foreach (explode(/, $path) as $seg) { if ($seg || $seg .) { continue; // 空段和 . 直接丟棄 } if ($seg ..) { $last $segments [] ? null : end($segments); if ($last ! null $last ! ..) { array_pop($segments); // 能抵消就抵消 } elseif (!$isAbsolute $prefix ) { $segments[] ..; // 相對路徑的 .. 要保留 } continue; } $segments[] $seg; } return $prefix . ($isAbsolute ? / : ) . implode(/, $segments); } /** 拼接若干路徑段后面的絕對路徑會被當成相對段處理不會覆蓋前面 */ public static function join(string ...$parts): string { $out ; foreach ($parts as $i $p) { if ($p ) { continue; } $out ($i 0 || $out ) ? $p : rtrim($out, /) . / . ltrim($p, /); } return self::normalize($out); } /** 路徑相等比較Windows 下大小寫不敏感Linux 下敏感 */ public static function equals(string $a, string $b): bool { $a self::normalize($a); $b self::normalize($b); return PHP_OS_FAMILY Windows ? strcasecmp($a, $b) 0 : $a $b; } /** * 判斷 $child 是否位于 $parent 目錄之內。 * 關鍵是給前綴補上分隔符否則 /var/www2 會被誤判為 /var/www 的子路徑。 */ public static function isInside(string $child, string $parent): bool { $parent rtrim(self::normalize($parent), /); if ($parent ) { return false; } $child self::normalize($child); $needle $parent . /; if (PHP_OS_FAMILY Windows) { $child strtolower($child); $needle strtolower($needle); } return str_starts_with($child, $needle); } }幾個設計要點..不能無腦抵消。/../etc/passwd里第一個..已經(jīng)沒有上一級可退如果再把它壓掉路徑就變成了/etc/passwd語義完全變了而相對路徑../a里的..是必須保留的。前綴要單獨摘出來。phar://后面跟的三個斜杠不能被壓成兩個盤符后面的C:也不能被當成普通目錄名。isInside()必須補分隔符。直接str_starts_with($child, $parent)會讓/var/www2通過/var/www的判斷這是一個經(jīng)常被用來繞過目錄限制的經(jīng)典漏洞。四、完整可運行示例?php declare(strict_types1); // 需要 PHP 8.0。把上面的 PathTool 類貼進來或單獨存成 PathTool.php 后 require。 $cases [ C:\\Users\\alice\\..\\bob\\.\\docs//a.txt, /var/www/../www2/logs/./app.log, phar:///tmp/app.phar/src/../lib/Foo.php, //server/share/folder/../other/file.txt, ../../etc/passwd, /../etc/passwd, ]; echo normalize \n; foreach ($cases as $c) { printf(%-46s %s\n, $c, PathTool::normalize($c)); } echo \n join \n; printf(join(/var/www, app, /storage/logs) %s\n, PathTool::join(/var/www, app, /storage/logs)); printf(join(/, a, b) %s\n, PathTool::join(/, a, b)); printf(join(C:\\temp, file.txt) %s\n, PathTool::join(C:\temp, file.txt)); echo \n equals \n; var_dump(PathTool::equals(/var/www/app/, /var/www/app)); var_dump(PathTool::equals(/var/www/App, /var/www/app)); echo \n isInside \n; var_dump(PathTool::isInside(/var/www/app/config.php, /var/www/app)); // true var_dump(PathTool::isInside(/var/www2/app/config.php, /var/www/app)); // false echo \n 真實文件操作用規(guī)范化的路徑去讀寫 \n; $base sys_get_temp_dir(); // 跨平臺拿到臨時目錄 $file PathTool::join($base, p16, demo.txt); if (!is_dir(dirname($file)) !mkdir(dirname($file), 0777, true) !is_dir(dirname($file))) { exit(無法創(chuàng)建目錄 . dirname($file) . PHP_EOL); } file_put_contents($file, hello\n); printf(寫入 %s讀回 %s, $file, file_get_contents($file)); printf(realpath 結果%s\n, realpath($file)); printf(basename%s, dirname%s\n, basename($file), dirname($file)); unlink($file);輸出的關鍵幾行在 Linux 上C:\Users\alice\..\bob\.\docs//a.txt C:/Users/bob/docs/a.txt /var/www/../www2/logs/./app.log /var/www2/logs/app.log phar:///tmp/app.phar/src/../lib/Foo.php phar:///tmp/app.phar/lib/Foo.php //server/share/folder/../other/file.txt //server/share/other/file.txt ../../etc/passwd ../../etc/passwd /../etc/passwd /etc/passwd注意最后一行根目錄之上的..被丟棄了這是符合 POSIX 語義的/..就是/。同時也說明單靠字符串規(guī)范化做不了安全校驗真正的邊界判斷要落在realpath()加白名單目錄比較上。常見坑點1. 用PATH_SEPARATOR拼目錄?$dir uploads . PATH_SEPARATOR . 2024;—— 在 Linux 上PATH_SEPARATOR是:得到uploads:2024一個根本不存在的文件名。 ? 拼目錄用/所有平臺都認多目錄列表才用PATH_SEPARATOR。2.basename()在 Linux 上不認反斜杠?basename(C:\logs\app.log)—— 在 Windows 上返回app.log在 Linux 上返回整串C:\logs\app.log。同一個函數(shù)、同一份代碼兩個平臺結果不同。 ? 先str_replace(\\, /, $path)再交給basename()或者統(tǒng)一用PathTool::normalize()處理。3. 拿DIRECTORY_SEPARATOR做字符串前綴比較?if (str_starts_with($path, $baseDir . DIRECTORY_SEPARATOR))—— 當調用方傳進來的$path用的是正斜杠而$baseDir用的是反斜杠時Windows 上常見判斷直接失效。 ? 兩邊都先規(guī)范化成同一種分隔符再比較。4. 忘記給目錄前綴補分隔符?if (str_starts_with($file, /var/www))——/var/www2/secret.txt也會通過這是路徑穿越漏洞的經(jīng)典形態(tài)。 ? 比較/var/www/帶尾部分隔符或者用規(guī)范化后的realpath()結果與白名單目錄逐一比對。5. Windows 下大小寫敏感誤判? 用$a $b判斷兩個路徑指向同一個文件 —— Windows 的 NTFS 默認大小寫不敏感C:\Temp和c:\TEMP是同一個目錄判斷會漏。 ? 用PHP_OS_FAMILY Windows ? strcasecmp($a, $b) 0 : $a $b或者在關鍵路徑上統(tǒng)一realpath()。6. 把用戶傳來的路徑直接拼進include或readfile()?readfile($base . / . $_GET[file]);——../可以直接跑出基目錄。 ? 拼完后realpath()確認結果仍位于允許的目錄內并且文件確實存在只允許白名單擴展名。注意realpath()對不存在的路徑返回false這本身就是一次有效的存在性校驗。7. 忘了 Windows 的路徑長度限制? 假設路徑長度沒有上限用深層嵌套目錄緩存 —— 傳統(tǒng) Windows API 的MAX_PATH是 260 個字符超出后即使目錄存在也會報文件找不到。 ? 控制目錄層級與文件名長度確需長路徑時用\\?\前綴僅絕對路徑有效或改用短哈希目錄名。Linux 上雖然限制寬松單段文件名也不應超過 255 字節(jié)。8. 在 shell 命令里手拼路徑?exec(tar -czf . $file . . $dir);—— 路徑里有空格、中文或引號時命令直接崩還有命令注入風險。 ? 用escapeshellarg()包住每個參數(shù)并記住它的行為在不同操作系統(tǒng)上不一樣Windows 與 Unix 的轉義規(guī)則不同不要跨平臺復用同一段拼好的字符串?？偨Y需求做法別做代碼里寫路徑一律用/寫\尤其別寫在雙引號里拼接目錄用/拼再做一次規(guī)范化用PATH_SEPARATOR展示路徑需要時再替換成DIRECTORY_SEPARATOR在內部數(shù)據(jù)里混用兩種分隔符多目錄列表PATH_SEPARATORinclude_path與目錄分隔符混為一談判前綴規(guī)范化 補尾部分隔符 str_starts_with()裸str_starts_with($path, $base)判同一文件realpath()后比較Windows 下忽略大小寫直接比較原始字符串取臨時目錄sys_get_temp_dir()硬編碼/tmp或C:\Windows\Temp拼 shell 參數(shù)escapeshellarg()手寫引號跨平臺路徑處理沒有捷徑核心就是三條紀律內部只用正斜杠、所有入口先規(guī)范化、比較之前先補齊分隔符與大小寫。把這三條落實到一個PathTool里Windows 與 Linux 的差異就只剩下realpath()的輸出格式和大小寫規(guī)則兩處都在你的掌控之中了。 PHP8.0怎么實現(xiàn)跨操作系統(tǒng)的文件路徑處理
前言跨平臺路徑處理的典型事故現(xiàn)場開發(fā)在 Windows 上寫代碼測試環(huán)境是 Linux打包上線后讀取緩存目錄失敗報failed to open stream: No such file or directory但路徑打印出來看「明明是對的」?；蛘叻催^來代碼在 Linux 上跑得好好的同事拉下來在 Windows 上開發(fā)basename()返回了整個路徑日志分析腳本直接把完整路徑當文件名寫進了報告。這類問題的根因只有一個路徑是字符串而字符串里的分隔符在不同系統(tǒng)上不是同一個字符。加上 Windows 還多了一堆別人沒有的東西——盤符、UNC 路徑、大小寫不敏感、MAX_PATH長度限制——用「拼接字符串」的思路寫路徑必然會在某個平臺上翻車。標題把這件事掛在 PHP 8.0 上這里要說清楚跨平臺路徑處理不是 PHP 8.0 引入的特性路徑相關的常量和函數(shù)DIRECTORY_SEPARATOR、PATH_SEPARATOR、basename()、dirname()、realpath()在更早的版本里就存在。PHP 8.0 對這件事的實際貢獻是三個新的字符串函數(shù)——str_contains()、str_starts_with()、str_ends_with()——它們讓「判斷路徑前綴」「判斷目錄歸屬」這類操作不用再寫substr()加偏移量本文就按 PHP 8.0 及以上的寫法來講。一、兩個分隔符別用混PHP 里和路徑有關的常量有兩個名字很像但用途完全不同常量Windows 上的值Linux/macOS 上的值用在哪DIRECTORY_SEPARATOR\/目錄層級分隔PATH_SEPARATOR;:include_path、PATH這類「多個路徑的列表」把PATH_SEPARATOR當成目錄分隔符用是一個很經(jīng)典的錯誤——它倆在某些系統(tǒng)上恰好都是單個字符跑起來不報錯只是行為詭異?php declare(strict_types1); // 需要 PHP 7.2PHP_OS_FAMILY 是 7.2 引入的 echo PHP_OS_FAMILY, PHP_EOL; // Windows / Linux / Darwin / BSD / Solaris / Unknown echo 目錄分隔符 . DIRECTORY_SEPARATOR . PHP_EOL; echo 列表分隔符 . PATH_SEPARATOR . PHP_EOL; // 只有當你要拼「多個目錄組成的搜索路徑」時才用它 $dirs [/opt/app/src, /opt/app/lib]; $includePath implode(PATH_SEPARATOR, $dirs); set_include_path($includePath . PATH_SEPARATOR . get_include_path());而DIRECTORY_SEPARATOR的使用場景比多數(shù)人想象的要少。原因是Windows 上的 PHP 同時接受/和\文件系統(tǒng)函數(shù)、include、require都能識別正斜杠反過來Linux 上的 PHP 完全不認\它會老老實實把反斜杠當成文件名的合法字符。所以寫進代碼里的路徑常量統(tǒng)一用/最省事在所有平臺上都能被 PHP 解析。DIRECTORY_SEPARATOR只在「要把路徑顯示給人看」或者「要交給外部程序比如在 Windows 上調用cmd」時才有必要用。拼接多個路徑段時用/拼再交給下面的規(guī)范化函數(shù)統(tǒng)一處理。二、真正的頭號殺手雙引號里的反斜杠在講拼接函數(shù)之前必須先講這個坑因為它比所有跨平臺問題加起來都更常見?php declare(strict_types1); // ? 雙引號字符串\n、\t、\r 會被當成轉義序列 $bad C:\path\to\new\file.txt; // \p → 原樣輸出 \p但 \t 是制表符、\n 是換行、\f 是換頁 echo $bad . PHP_EOL; // 輸出里出現(xiàn)換行和制表符路徑徹底廢掉 // ? 單引號字符串只有 \\ 和 \ 是轉義序列其余原樣保留 $good C:\path\to\new\file.txt; echo $good . PHP_EOL; // ? 或者用正斜杠從根上繞開這個問題 $better C:/path/to/new/file.txt; echo $better . PHP_EOL;單引號也不是萬能的結尾的反斜杠會轉義掉收尾的單引號。?php declare(strict_types1); // ? 解析錯誤末尾的 \ 把 轉義掉了 // $dir C:\temp\; // ? 寫成兩個反斜杠或者干脆用正斜杠 $dir C:\temp\\; $dir C:/temp/;在 PHP 8.0 下正確的做法是代碼里永遠寫正斜杠。需要接收用戶輸入的 Windows 路徑時在入口處統(tǒng)一替換掉反斜杠即可。三、寫一個 normalize把任意路徑變成統(tǒng)一形式跨平臺的本質是「內部只保留一種表示形式在邊界上轉換」。下面這個規(guī)范化的實現(xiàn)保持了..語義、保留了盤符與 URI 前綴可以放心用?php declare(strict_types1); // 需要 PHP 8.0用到 str_starts_with final class PathTool { /** * 把路徑規(guī)范化成「統(tǒng)一用 / 分隔、無 .、無冗余 ..、無重復分隔符」的形式。 * 保留 Windows 盤符、UNC 前綴和 URI 協(xié)議前綴。 */ public static function normalize(string $path): string { // 1) 反斜杠一律變正斜杠Windows 自己也認正斜杠反向則不行 $path str_replace(\\, /, $path); // 2) 摘出前綴file://、phar:// 這類協(xié)議或 C: 盤符或 UNC 的 // $prefix ; if (preg_match(#^([a-z][a-z0-9.\-]*://)#i, $path, $m) 1) { $prefix $m[1]; $path substr($path, strlen($prefix)); } elseif (preg_match(#^([A-Za-z]:)#, $path, $m) 1) { $prefix $m[1]; $path substr($path, 2); } elseif (str_starts_with($path, //)) { $prefix //; $path substr($path, 2); } $isAbsolute str_starts_with($path, /); $segments []; foreach (explode(/, $path) as $seg) { if ($seg || $seg .) { continue; // 空段和 . 直接丟棄 } if ($seg ..) { $last $segments [] ? null : end($segments); if ($last ! null $last ! ..) { array_pop($segments); // 能抵消就抵消 } elseif (!$isAbsolute $prefix ) { $segments[] ..; // 相對路徑的 .. 要保留 } continue; } $segments[] $seg; } return $prefix . ($isAbsolute ? / : ) . implode(/, $segments); } /** 拼接若干路徑段后面的絕對路徑會被當成相對段處理不會覆蓋前面 */ public static function join(string ...$parts): string { $out ; foreach ($parts as $i $p) { if ($p ) { continue; } $out ($i 0 || $out ) ? $p : rtrim($out, /) . / . ltrim($p, /); } return self::normalize($out); } /** 路徑相等比較Windows 下大小寫不敏感Linux 下敏感 */ public static function equals(string $a, string $b): bool { $a self::normalize($a); $b self::normalize($b); return PHP_OS_FAMILY Windows ? strcasecmp($a, $b) 0 : $a $b; } /** * 判斷 $child 是否位于 $parent 目錄之內。 * 關鍵是給前綴補上分隔符否則 /var/www2 會被誤判為 /var/www 的子路徑。 */ public static function isInside(string $child, string $parent): bool { $parent rtrim(self::normalize($parent), /); if ($parent ) { return false; } $child self::normalize($child); $needle $parent . /; if (PHP_OS_FAMILY Windows) { $child strtolower($child); $needle strtolower($needle); } return str_starts_with($child, $needle); } }幾個設計要點..不能無腦抵消。/../etc/passwd里第一個..已經(jīng)沒有上一級可退如果再把它壓掉路徑就變成了/etc/passwd語義完全變了而相對路徑../a里的..是必須保留的。前綴要單獨摘出來。phar://后面跟的三個斜杠不能被壓成兩個盤符后面的C:也不能被當成普通目錄名。isInside()必須補分隔符。直接str_starts_with($child, $parent)會讓/var/www2通過/var/www的判斷這是一個經(jīng)常被用來繞過目錄限制的經(jīng)典漏洞。四、完整可運行示例?php declare(strict_types1); // 需要 PHP 8.0。把上面的 PathTool 類貼進來或單獨存成 PathTool.php 后 require。 $cases [ C:\\Users\\alice\\..\\bob\\.\\docs//a.txt, /var/www/../www2/logs/./app.log, phar:///tmp/app.phar/src/../lib/Foo.php, //server/share/folder/../other/file.txt, ../../etc/passwd, /../etc/passwd, ]; echo normalize \n; foreach ($cases as $c) { printf(%-46s %s\n, $c, PathTool::normalize($c)); } echo \n join \n; printf(join(/var/www, app, /storage/logs) %s\n, PathTool::join(/var/www, app, /storage/logs)); printf(join(/, a, b) %s\n, PathTool::join(/, a, b)); printf(join(C:\\temp, file.txt) %s\n, PathTool::join(C:\temp, file.txt)); echo \n equals \n; var_dump(PathTool::equals(/var/www/app/, /var/www/app)); var_dump(PathTool::equals(/var/www/App, /var/www/app)); echo \n isInside \n; var_dump(PathTool::isInside(/var/www/app/config.php, /var/www/app)); // true var_dump(PathTool::isInside(/var/www2/app/config.php, /var/www/app)); // false echo \n 真實文件操作用規(guī)范化的路徑去讀寫 \n; $base sys_get_temp_dir(); // 跨平臺拿到臨時目錄 $file PathTool::join($base, p16, demo.txt); if (!is_dir(dirname($file)) !mkdir(dirname($file), 0777, true) !is_dir(dirname($file))) { exit(無法創(chuàng)建目錄 . dirname($file) . PHP_EOL); } file_put_contents($file, hello\n); printf(寫入 %s讀回 %s, $file, file_get_contents($file)); printf(realpath 結果%s\n, realpath($file)); printf(basename%s, dirname%s\n, basename($file), dirname($file)); unlink($file);輸出的關鍵幾行在 Linux 上C:\Users\alice\..\bob\.\docs//a.txt C:/Users/bob/docs/a.txt /var/www/../www2/logs/./app.log /var/www2/logs/app.log phar:///tmp/app.phar/src/../lib/Foo.php phar:///tmp/app.phar/lib/Foo.php //server/share/folder/../other/file.txt //server/share/other/file.txt ../../etc/passwd ../../etc/passwd /../etc/passwd /etc/passwd注意最后一行根目錄之上的..被丟棄了這是符合 POSIX 語義的/..就是/。同時也說明單靠字符串規(guī)范化做不了安全校驗真正的邊界判斷要落在realpath()加白名單目錄比較上。常見坑點1. 用PATH_SEPARATOR拼目錄?$dir uploads . PATH_SEPARATOR . 2024;—— 在 Linux 上PATH_SEPARATOR是:得到uploads:2024一個根本不存在的文件名。 ? 拼目錄用/所有平臺都認多目錄列表才用PATH_SEPARATOR。2.basename()在 Linux 上不認反斜杠?basename(C:\logs\app.log)—— 在 Windows 上返回app.log在 Linux 上返回整串C:\logs\app.log。同一個函數(shù)、同一份代碼兩個平臺結果不同。 ? 先str_replace(\\, /, $path)再交給basename()或者統(tǒng)一用PathTool::normalize()處理。3. 拿DIRECTORY_SEPARATOR做字符串前綴比較?if (str_starts_with($path, $baseDir . DIRECTORY_SEPARATOR))—— 當調用方傳進來的$path用的是正斜杠而$baseDir用的是反斜杠時Windows 上常見判斷直接失效。 ? 兩邊都先規(guī)范化成同一種分隔符再比較。4. 忘記給目錄前綴補分隔符?if (str_starts_with($file, /var/www))——/var/www2/secret.txt也會通過這是路徑穿越漏洞的經(jīng)典形態(tài)。 ? 比較/var/www/帶尾部分隔符或者用規(guī)范化后的realpath()結果與白名單目錄逐一比對。5. Windows 下大小寫敏感誤判? 用$a $b判斷兩個路徑指向同一個文件 —— Windows 的 NTFS 默認大小寫不敏感C:\Temp和c:\TEMP是同一個目錄判斷會漏。 ? 用PHP_OS_FAMILY Windows ? strcasecmp($a, $b) 0 : $a $b或者在關鍵路徑上統(tǒng)一realpath()。6. 把用戶傳來的路徑直接拼進include或readfile()?readfile($base . / . $_GET[file]);——../可以直接跑出基目錄。 ? 拼完后realpath()確認結果仍位于允許的目錄內并且文件確實存在只允許白名單擴展名。注意realpath()對不存在的路徑返回false這本身就是一次有效的存在性校驗。7. 忘了 Windows 的路徑長度限制? 假設路徑長度沒有上限用深層嵌套目錄緩存 —— 傳統(tǒng) Windows API 的MAX_PATH是 260 個字符超出后即使目錄存在也會報文件找不到。 ? 控制目錄層級與文件名長度確需長路徑時用\\?\前綴僅絕對路徑有效或改用短哈希目錄名。Linux 上雖然限制寬松單段文件名也不應超過 255 字節(jié)。8. 在 shell 命令里手拼路徑?exec(tar -czf . $file . . $dir);—— 路徑里有空格、中文或引號時命令直接崩還有命令注入風險。 ? 用escapeshellarg()包住每個參數(shù)并記住它的行為在不同操作系統(tǒng)上不一樣Windows 與 Unix 的轉義規(guī)則不同不要跨平臺復用同一段拼好的字符串?？偨Y需求做法別做代碼里寫路徑一律用/寫\尤其別寫在雙引號里拼接目錄用/拼再做一次規(guī)范化用PATH_SEPARATOR展示路徑需要時再替換成DIRECTORY_SEPARATOR在內部數(shù)據(jù)里混用兩種分隔符多目錄列表PATH_SEPARATORinclude_path與目錄分隔符混為一談判前綴規(guī)范化 補尾部分隔符 str_starts_with()裸str_starts_with($path, $base)判同一文件realpath()后比較Windows 下忽略大小寫直接比較原始字符串取臨時目錄sys_get_temp_dir()硬編碼/tmp或C:\Windows\Temp拼 shell 參數(shù)escapeshellarg()手寫引號跨平臺路徑處理沒有捷徑核心就是三條紀律內部只用正斜杠、所有入口先規(guī)范化、比較之前先補齊分隔符與大小寫。把這三條落實到一個PathTool里Windows 與 Linux 的差異就只剩下realpath()的輸出格式和大小寫規(guī)則兩處都在你的掌控之中了。