Comment puis-je m'assurer en toute sécurité qu'une variable ne contient qu'un nom de fichier valide?

Compte tenu du script ci-dessous, comment puis-je m'assurer que l'argument contient uniquement un nom de fichier valide à l'intérieur /home/charlesingalls/et non un chemin ( ../home/carolineingalls/) ou un caractère générique, etc.?

Je veux seulement que le script puisse supprimer un seul fichier du répertoire codé en dur donné. Ce script s'exécutera en tant qu'utilisateur privilégié.

#!/bin/bash

rm -f /home/charlesingalls/"$1"

Si vous voulez seulement supprimer un fichier dans /home/charlesingalls(et non un fichier dans un sous-répertoire), c'est facile: vérifiez simplement que l'argument ne contient pas de /.

case "$1" in
  */*) echo 1>&2 "Refusing to remove a file in another directory"; exit 2;;
  *) rm -f /home/charlesingalls/"$1";;
esac

Cela s'exécute rmmême si l'argument est .ou ..ou vide, mais dans ce cas, il rmne parviendra pas à supprimer un répertoire sans danger.

Les caractères génériques ne sont pas pertinents ici car aucune expansion de caractères génériques n'est effectuée.

Ceci est sûr même en présence de liens symboliques: si le fichier est un lien symbolique, le lien symbolique (qui est dedans /home/charlesingalls) est supprimé et la cible de ce lien n'est pas affectée.

Notez que cela suppose qu'il /home/charlesingallsne peut pas être déplacé ou modifié. Cela devrait être correct si le répertoire est codé en dur dans le script, mais s'il est déterminé à partir de variables, la détermination peut ne plus être valide au moment où la rmcommande s'exécute.

Sur la base des informations supplémentaires selon lesquelles l'argument est un nom d'hôte virtuel, vous devriez faire une liste blanche plutôt qu'une liste noire: vérifiez que le nom est un nom d'hôte virtuel raisonnable, plutôt que d'interdire simplement les barres obliques. Je vérifie que le nom commence par une lettre ou un chiffre minuscule et qu'il ne contient pas de caractères autres que des lettres minuscules, des chiffres, des points et des tirets.

LC_CTYPE=C LC_COLLATE=C
case "$1" in
  *[!-.0-9a-z]*|[!0-9a-z]*) echo >&2 "Invalid host name"; exit 2;;
  *) rm -f /home/charlesingalls/"$1";;
esac

Cette réponse suppose qu'il $1est autorisé d'inclure des sous-répertoires. Si vous êtes intéressé par le cas le plus simple où $1devrait être un simple nom de répertoire, consultez l'une des autres réponses.

Les caractères génériques ne sont pas développés lorsqu'ils sont entre guillemets. Comme $1c'est entre guillemets, les caractères génériques ne sont pas un problème.

Les deux ../et les liens symboliques peuvent masquer l' emplacement réel d'un fichier. Ci-dessous sont des tests pour déterminer si le fichier est vraiment, pas seulement en apparence, sous le chemin que nous voulons.

Systèmes plus récents: utilisation realpath

Quant à savoir si le fichier est vraiment /home/charlesingalls/ou non, vous pouvez utiliser realpath:

realpath --relative-base=/home/charlesingalls/ "/home/charlesingalls/$1"  | grep -q '^/' && exit 1

Ce qui précède s'exécute exit 1si le fichier spécifié par se $1trouve ailleurs que sous le répertoire /home/charlesingalls/. realpathcanonise l'ensemble du chemin, en éliminant les liens symboliques et ../.

realpath fait partie de GNU coreutils et devrait être disponible sur n'importe quel système Linux.

realpathnécessite GNU coreutils 8.15 (janvier 2012) ou mieux .

Exemples

Pour montrer comment realpath suit ../pour déterminer l'emplacement réel d'un fichier (par exemple, l' -qoption grep est omise pour que la sortie réelle de grep soit visible):

$ touch /tmp/test
$ realpath --relative-base=$HOME "$HOME/../../tmp/test" | grep '^/' && echo FAIL
/tmp/test
FAIL

Pour montrer comment il suit les liens symboliques:

$ ln -s /tmp/test ~/test
$ realpath --relative-base=$HOME "$HOME/test" | grep '^/' && echo FAIL
/tmp/test
FAIL

Systèmes plus anciens: utilisation readlink -e

readlinkest également capable de cononicaliser un chemin, en suivant à la fois les liens symboliques et ../:

readlink -e "$HOME/test" | grep -q "^$HOME" || exit 1

En utilisant les mêmes fichiers d'exemple:

$ readlink -e "$HOME/../../tmp/test" | grep "$HOME" || echo FAIL
FAIL
$ readlink -e "$HOME/test" | grep "^$HOME" || echo FAIL
FAIL

En plus d'être disponibles sur les anciens systèmes GNU, des versions de readlinksont disponibles sur BSD.

Si vous voulez interdire complètement les chemins, le moyen le plus simple est de tester si la variable contient une barre oblique ( /). En bash:

if [[ "$1" = */* ]] ; then...

Cela bloquera tous les chemins, y compris foo/bar. Vous pouvez tester à la ..place, mais cela laisserait la possibilité de liens symboliques pointant vers des répertoires en dehors du chemin cible.

Si vous souhaitez uniquement autoriser la suppression d'un seul fichier, je ne pense pas que vous devriez utiliser rm -r.

En outre, selon ce que vous faites, vous pouvez utiliser les autorisations de fichiers du système pour autoriser uniquement la suppression des fichiers que l'utilisateur peut supprimer lui-même. Quelque chose comme ça:

su charlesingalls -c "rm /home/charlesingalls/'$1'"

Bien que @Gilles ait commenté, cela a un problème de citation: il échouera s'il $1contient une seule citation, donc la variable doit être testée pour cela en premier (avec par exemple if [[ "$1" = *\'* ]] ; then fail...ou plutôt en mettant en liste blanche un jeu de caractères sensible), ou le nom de fichier transmis une variable d'environnement avec par exemple

file="$1" su charlesingalls -c 'rm "/home/charlesingalls/$file"'