RegExでパスとファイル名が安全であることを確認しますか？

Question

私はトラバーサルのためのパスをチェックする最良の方法を探しています。現在のパスは、二つの部分である$のuser_rootと以下のように$ input_path：

$user_root = '/var/www/users_root'; 
$input_path = '../../../'; 
$full_path = $user_root + $input_path; 

それが正規表現に来るとき、私は無用です。私はトラバーサル（可能であれば削除する）をチェックし、正しい文字がパスの中にあることを確認したいと思います&ファイル名はunixとwindowsです。

ありがとう

Answer 1

$ input_path内で "../"をチェックするだけではどうですか？また、「正しい文字」は何と考えていますか？私はA-Z、a-z、0-9がすべて問題ないと仮定しています。ハイフン、アンダースコア、スペースはどうですか？ほとんどの句読点は、unixとlinuxのファイル（およびディレクトリ）名で有効ですが、使用しているオペレーティングシステムを指定していません。

if (strpos($input_path, "../") > 0) { 
    die("Obvious attempt to look behind the curtain"); 
} else 
if (preg_match("/[^A-Za-z0-9_./-]/", $input_path) { 
    die("Illegal characters"); 
} else { 
    // do something useful 
} 

味を塩にする。

正規表現内の角括弧内のハイフンは、開き角かっこのすぐ横にある必要があります。また、エスケープする必要があります。したがって、正規表現では、[a-z0-9_-]は、英数字プラス下線とハイフンを意味します。しかし、[a-z0-9-_]はエラーです。