安全なパス。親から逃げないで解決してください

Question

私は（expressjs）httpサービスを書いています。これは、あらゆる呼び出し時にユーザー入力として相対パスを取得し、そのパスに基づいてファイルシステムからファイルを読み込み、

app.get("/api", (req, res, next) => { 
    var filePath = path.resolve("./datasource", req.query.path); 
    fs.readFile(filePath, "utf8", (err, data) => { 
     processData(data, (err, processed) => { 
      res.json(processed); 
     }); 
    }); 
}); 

わかりやすくするためにエラー処理を取り除きました。この問題は、URL /api?path=../../../etc/passwdを呼び出して、サーバー自体から情報が漏れることがあるということです。私は./datasourceフォルダの外のファイルを処理しないようにこのapiを望みます。私はpath.resolveのカスタム化された実装を使うことができると思いますが、親からエスケープしませんが、pathモジュールにそのような機能はありません。私が考えるいくつかの例：

saferesolve("./datasource", "a/b") === "./datasource/a/b" 
saferesolve("./datasource", "a/b/../c") === "./datasource/a/c" 
saferesolve("./datasource", "../..") === "./datasource" 
saferesolve("./datasource", "../../a/b") === "./datasource/a/b" 
saferesolve("./datasource", "../../a/b/..") === "./datasource/a" 

任意のアイデアはどのように全体pathモジュールを再発明することなく、これを実現するには？

Answer 1

これは、あなたのテストに合格しているようだ：

function saferesolve(base, target) { 
    var targetPath = '.' + path.posix.normalize('/' + target) 
    return path.posix.resolve(base, targetPath) 
}