45 lines
2.4 KiB
JavaScript
45 lines
2.4 KiB
JavaScript
// path-confinement.mjs
|
|
// Delt lesegrense/skrivegrense mot en bundle-rot. Trukket ut av
|
|
// lib/innboks-write.mjs (D7 steg 17) fordi arkivklar-traverseringen trenger
|
|
// NOEYAKTIG samme regel paa lesesiden som ingestion har paa skrivesiden.
|
|
//
|
|
// EN delt regel, ett sted -- samme disiplin som unquote() i lib/frontmatter.mjs.
|
|
// To kopier av en sikkerhetsregel maa endres i takt for alltid, og gjoer det ikke.
|
|
//
|
|
// Tolags, fordi de to lagene fanger ULIKE angrepsformer:
|
|
// (1) LEKSIKALSK (resolveUnderBundle) -- '..'-escape og absolutt-override.
|
|
// path.resolve() lar en absolutt `rel` vinne over rota; containment-sjekken
|
|
// fanger det. path.sep i prefikssjekken er load-bearing: uten den tillater
|
|
// basen /uploads ogsaa soesken-katalogen /uploads-other.
|
|
// (2) SYMLINK (assertRealUnderBundle) -- path.resolve() loeser IKKE symlenker,
|
|
// saa en symlinket node INNE i bundlen kan peke UT av den. realpathSync paa
|
|
// den faktiske noden maa ogsaa lande under rotas realpath.
|
|
// Lag (1) alene er utilstrekkelig, og lag (2) alene kaster paa stier som ikke
|
|
// finnes ennaa. Begge trengs.
|
|
|
|
import path from 'node:path';
|
|
import { realpathSync } from 'node:fs';
|
|
|
|
// Resolver en bundle-relativ sti og asserter at den blir UNDER bundle-rota.
|
|
// `hvem` gaar inn i feilmeldingen slik at kalleren er identifiserbar -- den
|
|
// eneste grunnen funksjonen tar den i det hele tatt.
|
|
export function resolveUnderBundle(resolvedBundle, rel, hvem = 'path-confinement') {
|
|
const resolved = path.resolve(resolvedBundle, rel);
|
|
if (resolved !== resolvedBundle && !resolved.startsWith(resolvedBundle + path.sep)) {
|
|
throw new Error(`${hvem}: maal-sti utenfor bundle-rot avvist: ${rel}`);
|
|
}
|
|
return resolved;
|
|
}
|
|
|
|
// realpathSync kaster ENOENT paa en sti som ikke finnes. Det er kallerens ansvar
|
|
// aa kalle denne paa en node som ER opprettet (destinasjons-parent etter mkdir,
|
|
// eller en fil som faktisk ligger der) -- vi pakker den derfor IKKE inn i en
|
|
// try/catch her: en ENOENT skal boble som ENOENT, ikke maskeres som et
|
|
// confinement-brudd. De to feilene krever ulik handling hos kalleren.
|
|
export function assertRealUnderBundle(realBundle, p, what, hvem = 'path-confinement') {
|
|
const real = realpathSync(p);
|
|
if (real !== realBundle && !real.startsWith(realBundle + path.sep)) {
|
|
throw new Error(`${hvem}: ${what} resolverer utenfor bundle-rot (symlink-escape avvist): ${p}`);
|
|
}
|
|
return real;
|
|
}
|