任意文件操作 - 文件下载 

  任意文件下载：攻击者通过漏洞或恶意代码，未经授权地从目标系统或网络中获取文件，可能导致信息泄露或系统被入侵

漏洞场景：ProcessBuilder 流量分析

文件路径没做限制，可使用../遍历任意文件

缺陷代码

安全场景：文件下载白名单

可尝试下载test.txt、text.jsp文件

tips
安全编码规范：
    1、限制目录访问：将用户的文件操作限制在特定的安全目录内，确保所有路径操作都在该目录下进行。
    2、输入验证和清理：过滤用户输入，防止目录遍历攻击。禁止使用 ..、/、\ 等特殊字符。
    3、使用白名单策略：只允许符合安全规则的文件类型和格式被下载，限制文件扩展名。
    4、权限控制：设置文件和目录的访问权限，确保只有授权用户可以进行下载操作。

安全代码