任意文件操作 - 文件读取 

  任意文件读取：攻击者通过漏洞在应用程序中未经授权地读取系统上的任意文件，可能导致敏感信息泄露

漏洞场景：原生漏洞场景 流量分析

文件路径没做限制，可使用../遍历任意文件

缺陷代码

安全场景：文件读取白名单

可尝试读取test.txt、text.jsp文件

tips
安全编码规范：
    1、限制目录访问：将用户的文件操作限制在特定的安全目录内，确保所有路径操作都在该目录下进行。
    2、输入验证和清理：过滤用户输入，防止目录遍历攻击。禁止使用 ..、/、\ 等特殊字符。
    3、使用白名单策略：只允许符合安全规则的文件类型和格式读取，限制文件扩展名。
    4、权限控制：设置文件和目录的访问权限，确保只有授权用户可以进行读取操作。

缺陷代码