一、路徑遍歷
路徑遍歷是指應用程序接收了未經合理校驗的用戶參數用於進行與文件讀取查看相關操作，而該參數包含了特殊的字符(例如“..”和“/”)，使用了這類特殊字符可以擺脫受保護的限制，越權訪問一些受保護的文件、目錄或者覆蓋敏感數據。本文以JAVA 語言源代碼為例，分析路徑遍歷缺陷及該缺陷產生的原因及修復方法。
https://www.freebuf.com/news/188469.html
修復方式：在使用傳入的參數前，用正則表達式進行特殊字符，比如， ”/\” : | * ? < >”等的過濾
四、如何避免路徑遍歷
要避免路徑遍歷，需要注意以下幾點：
（1）程序對非受信的用戶輸入數據凈化，對網站用戶提交過來的文件名進行硬編碼或者統一編碼，過濾非法字符。
（2）對文件后綴進行白名單控制，對包含了惡意的符號或者空字節進行拒絕。
（3）合理配置 web 服務器的目錄權限。