在網站中使用相對鏈接安全嗎？

Question

在構建網站時，我通過相對鏈接從父文件夾引用文件（資產，js，css）。這是安全的做法嗎？或者，我是否打開網站以解決安全問題/風險，例如目錄遍歷攻擊？絕對鏈接會更安全還是會導致更多的HTTP請求？最佳做法是什麼？

Answer 1

沒有安全隱患。 Directory Traversal發生在有問題的Web服務器實現或錯誤的腳本錯誤地允許在URL中輸入路徑字符並遍歷服務器目錄結構時。例如，「..」或「/」字符（或其編碼版本）。

一個例子是如果您的網址爲https//www.example.com/readFile.php?file=readme.txt，並且惡意用戶可以將其更改爲https//www.example.com/readFile.php?file=/etc/passwd，那麼如果它有效，它將很容易受到攻擊。

本例中，HTML頁面中的鏈接與在地址欄中直接輸入該URL的用戶相同，因此不會引入額外的風險。相對鏈接可能更安全，因爲引入任何可生成絕對鏈接的URL解析代碼的bug的風險較低。最新版本的流行的Web服務器可以抵禦這種攻擊，如果您尚未引入包含此漏洞的自己的腳本，則應該是安全的。

Answer 2

你應該沒問題。無論哪種方式，如果文件被移動，它們將不會被找到。至於安全性，我不是100％確定的，但我懷疑HTML中的鏈接類型會導致安全問題。那可能是我等待得到另一個答案的原因。