اجتياز المسارات Path Traversal

الصياغة

GET /files?name=<اسم ملف يتحكّم به المستخدم>

📄 مثال

// ✅ آمن: طابق الاسم مقابل قائمة معروفة، لا تبنِ مسارًا من مدخل حرّ
const ALLOWED_FILES = new Map([
  ["invoice-2024", "/secure-storage/invoice-2024.pdf"],
]);

function resolveFile(name) {
  return ALLOWED_FILES.get(name) ?? null; // غير موجود في القائمة = مرفوض
}

const filePath = resolveFile(req.query.name);
if (!filePath) return res.status(404).end();

أهم النقاط

💡 نصائح عملية

• لو احتجت قبول اسم ملفّ حقًّا، طبِّع المسار (normalize) وتحقّق أنه لا يزال داخل المجلّد المسموح بعد التطبيع لا قبله

⚠️ أخطاء شائعة

• الاكتفاء بإزالة سلسلة "../" نصيًّا — قابلة للالتفاف بترميز أو تكرار (مثل "....//") يتحوّل بعد إزالة جزء منها لنفس النمط الخطر

خصائص ذات صلة