Normalizar la ruta y confinarla al directorio permitido

Un control de confinamiento tiene dos mitades y las dos importan. La primera es resolver: convertir lo que llegó en la ruta real del archivo, con los ascensos de directorio ya aplicados y los enlaces simbólicos ya seguidos. La segunda es comparar: comprobar que esa ruta real está dentro del directorio permitido.

Las bibliotecas estándar traen piezas para las dos mitades, y conviene saber cuál hace qué. En PHP, realpath() devuelve la ruta canónica con los enlaces simbólicos resueltos, o false si el archivo no existe. En Python, os.path.realpath() canoniza y sigue enlaces, y os.path.commonpath() compara rutas por sus componentes; su pariente os.path.commonprefix() compara caracteres y la documentación avisa de que no sirve para esto. En Java, normalize() quita los puntos y los pares de nombre y ascenso pero no toca los enlaces —para eso está toRealPath()—, y startsWith() compara elementos de ruta: la documentación lo dice con un ejemplo, foo/bar empieza por foo, pero no por f ni por fo.

El fallo frecuente no está en resolver: está en comparar. Comparar dos rutas como si fueran dos cadenas de texto convierte a cualquier carpeta cuyo nombre empiece igual en una carpeta permitida.

Abre el laboratorio, mira arbol-almacen.txt para saber qué hay alrededor del directorio permitido y luego lee el caso C2 de informe-confinamiento.txt. La columna de la ruta resuelta dice exactamente dónde acabó.

De los cinco casos del informe, tres terminan fuera del directorio permitido y dos dentro. Lee el código de las tres implementaciones y crúzalo con las tres últimas columnas: una sola rechaza los tres que salen y acepta los dos que no.

Fíjate también en por qué fallan las otras dos: una compara texto en lugar de componentes de ruta; la otra confía en un filtro de ascensos y no ve que, al unir un directorio con un nombre que ya es absoluto, la biblioteca descarta el directorio —está documentado así, no es un error de la biblioteca—.

El caso C5 no trae ningún ascenso de directorio: el nombre apunta a un archivo que está, de verdad, dentro de la carpeta permitida. Lo que pasa es que ese archivo es un enlace simbólico creado por error en una migración y apunta a la configuración del portal.

Elegir una implementación no cierra el trabajo. El control vive en un sitio y hay que asegurarse de que todas las descargas pasan por él, y de que el enlace simbólico que quedó en la carpeta se retira.