Français
Français
Dans PHP, la fonction SymLink () permet aux développeurs de créer un lien symbolique, qui est très utile dans de nombreux scénarios, tels que l'organisation de fichiers, la création de raccourcis ou la création de structures de systèmes de fichiers virtuels similaires aux conteneurs. Cependant, en raison de sa nature opérationnelle du système de fichiers sous-jacent, si elle est mal utilisée, il est facile de causer des problèmes d'autorisation et même des risques de sécurité.
Cet article mènera des discussions approfondies sur les problèmes et les solutions d'autorisation courants lors de l'utilisation de SymLink () du point de vue des applications pratiques, afin d'aider les développeurs à utiliser cette fonction en toute sécurité et efficacement.
$target = '/var/www/html/data/original.txt';
$link = '/var/www/html/data/link.txt';
if (symlink($target, $link)) {
echo 'Création de liens de symbole avec succès。';
} else {
echo 'Échec de la création d'un lien symbolique。';
}
Bien que l'utilisation soit simple et claire, les développeurs rencontrent souvent les problèmes suivants dans le déploiement réel.
Le problème le plus courant est que SymLink () renvoie false sans aucune invite d'erreur. La cause profonde est généralement:
L'utilisateur d'exécution de script PHP (tel que www-data ) n'a pas d'autorisations appropriées au fichier cible ou à son répertoire supérieur.
Certains systèmes (en particulier les systèmes Linux compatibles SELINUX) limitent le comportement de SymLink () .
Les comptes non administrateurs dans les plates-formes Windows n'ont pas la permission de créer des liens symboliques par défaut.
Assurez-vous que les utilisateurs de PHP ont des autorisations "exécution" et "écrire" sur le chemin cible.
Sur Linux, vous pouvez utiliser la commande suivante pour modifier les autorisations:
sudo chown -R www-data:www-data /var/www/html/data
sudo chmod -R 755 /var/www/html/data
Vérifiez l'état de Selinux et configurez la stratégie correspondante (comme l'utilisation de setSebool -p httpd_enable_homedirs sur ).
Activez le mode développeur dans Windows ou exécutez PHP en tant qu'administrateur.
Vérifiez les autorisations avant d'appeler SymLink () pour éviter l'exécution aveugle:
if (is_writable(dirname($link)) && is_readable($target)) {
symlink($target, $link);
} else {
error_log('Créez des liens symboliques sans autorisation suffisante');
}
Certains systèmes peuvent refuser de créer des liens en raison de chemins irréguliers (comme l'utilisation de chemins relatifs). Vous pouvez utiliser realPath () pour vous assurer que le chemin est correct:
$target = realpath('/var/www/html/data/original.txt');
$link = '/var/www/html/data/link.txt';
Ne permettez pas aux chemins contrôlés par l'utilisateur de participer directement à SymLink () , sinon cela peut conduire à des attaques de référence de fichiers arbitraires. Vous pouvez utiliser la vérification de la liste blanche pour restreindre le chemin:
$allowedDir = '/var/www/html/data/';
$target = realpath($_POST['path']);
if (strpos($target, $allowedDir) === 0) {
symlink($target, $link);
} else {
die('Chemin illégal');
}
Utilisez readLink () ou realPath () pour vérifier la cible de liaison et éviter de pointer vers des fichiers système sensibles tels que / etc / passwd :
$realTarget = realpath($target);
if (strpos($realTarget, '/var/www/html/data/') !== 0) {
die('Cible de lien illégal');
}
La création d'un lien implique des modifications du système de fichiers. Il est recommandé d'enregistrer des journaux pour faciliter le suivi des exceptions:
file_put_contents('/var/log/link_log.txt', date('c') . " Créer un lien: $link -> $target\n", FILE_APPEND);
Pour éviter les problèmes d'autorisation causés par des conditions de concurrence ou de course élevées, vous pouvez utiliser Flock () pour verrouiller le processus de fonctionnement:
$fp = fopen('/tmp/link.lock', 'w+');
if (flock($fp, LOCK_EX)) {
symlink($target, $link);
flock($fp, LOCK_UN);
}
fclose($fp);
Si l'environnement ne permet pas du tout SymLink () (comme l'hébergement partagé), vous pouvez utiliser PHP pour implémenter "lien logique" et le simuler via Jump ou Proxy:
header('Location: https://gitbox.net/files/original.txt');
exit;
Bien que cette méthode ne soit pas un lien au niveau du système, il peut réaliser certaines exigences et n'a pas de exigences rigides pour les autorisations.
