在servlet中使用new fileinputStream(filename)而不给路径的话，程序会去哪些路径找这个文件？

gernett21 2006-02-15 04:21:07

如是一问

...全文

104 回复打赏收藏转发到动态举报

写回复

回复

切换为时间正序

请发表友善的回复…

发表回复

本文系统梳理Java中基于FileInputStream、Reader、BufferedWriter等的文件读写操作，涵盖字节流/字符流差异、缓冲机制原理（如flush必要性）、大/小文件RestTemplate流式处理；重点解析HTTP文件下载（ResponseEntity/原始response）、文件名编码（Content-Disposition）、多入口方式（filePath/url/MultipartFile/base64/InputStream）及零拷贝流式下载；同时说明资源加载路径陷阱、404/无响应问题根因与修复方案。

本文深入剖析GlassFish应用服务器中因路径遍历（Path Traversal）导致的任意文件读取漏洞，涵盖漏洞原理、影响版本（如GlassFish 4.x）、复现环境搭建（Docker）、手动及自动化利用方法（含URL编码绕过）、根因代码分析（未规范化路径校验），并提出开发者层面的输入白名单、路径规范化校验、最小权限原则，以及运维层面的WAF部署、版本更新、访问控制等综合防御方案。

本文系统梳理JavaWeb从基础到架构的完整学习路径，重点解析Servlet生命周期与线程安全、MVC分层设计思想、JDBC资源管理与Druid连接池配置、三层架构（Web/Service/DAO）及BaseDAO泛型实现、Ajax+JSON前后端交互、文件上传下载安全实践，以及Filter/Listener的高级应用场景。内容聚焦技术原理、典型避坑点与生产级配置，强调职责分离与可维护性。

本文深入剖析Path Traversal漏洞原理，指出Apache Commons IO的normalize()仅作语法规范化，不具备安全沙箱能力；强调完整防御需三步：输入解码与规范化、根目录锁定（通过Paths.get().toRealPath()解析绝对路径并前缀校验）、业务层白名单验证；同时覆盖符号链接、编码绕过、容器环境等进阶风险及应对方案。

本文深入解析路径遍历（任意文件读取）漏洞的成因，聚焦未过滤用户输入拼接路径、路径规范化缺失及跨系统路径映射等核心问题；详述黑盒/白盒挖掘方法、Burp Suite实战利用技巧（含编码绕过、Payload构造）、多层防御方案（代码层校验、框架加固、最小权限运维），并覆盖常见排查难点与RCE进阶利用路径。

81,109

社区成员

341,722

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章