ThinkPHP 6.0.13及更早版本中Lang::load()未校验lang参数白名单，导致路径遍历风险；修复方式包括添加校验中间件、禁用动态切换或升级至6.0.14+并规范语言包路径。
Lang::load() 未校验 lang 参数白名单
ThinkPHP 6.0.13 及更早版本中，Lang::load() 直接拼接用户传入的 lang 参数构造文件路径，不校验是否在 allow_lang_list 中。哪怕你配置了 'allow_lang_list' => ['zh-cn', 'en-us']，只要请求带 ?lang=ja-jp 或更危险的 ?lang=../../../../etc/passwd，框架仍会尝试加载——白名单形同虚设。
根本原因不是配置漏了，而是框架没在加载路径生成前强制拦截。白名单只用于后续语言切换逻辑（如 Lang::setLocale()），不参与 Lang::load() 的路径安全控制。
- 检查
config/lang.php是否有'switch' => true：若为true，则必须手动校验lang参数，否则白名单无意义 - 确认中间件
think\middleware\LoadLangPack已启用：未启用时连白名单读取都跳过 - 不要依赖前端传参“自觉合法”：攻击者可绕过 JS 校验直接发请求，白名单校验必须落在服务端入口
在中间件中手动校验 lang 参数
最稳妥的做法是写一个轻量中间件，在 LoadLangPack 执行前拦截并校验 lang。不推荐重写 Lang::load()，因为调用点分散（模板、控制器、事件等），容易遗漏。
新建 app/middleware/CheckLangParam.php：
立即学习“PHP免费学习笔记（深入）”；
namespace app\middleware;
use think\Request;
use think\Response;
class CheckLangParam
{
public function handle(Request $request, \Closure $next)
{
$lang = $request->param('lang', '');
$allowList = config('lang.allow_lang_list', []);
if ($lang && !in_array($lang, $allowList)) {
return Response::create('Invalid language code', 'html', 400);
}
return $next($request);
}
}
然后在 app/middleware.php 全局中间件数组中，把它放在 think\middleware\LoadLangPack 之前：
app\middleware\CheckLangParam::classthink\middleware\LoadLangPack::class
注意顺序：校验必须在语言包加载前完成，否则攻击已发生。
禁用动态切换是最彻底的修复
如果业务不需要 URL 或 Cookie 切换语言（比如仅靠域名或子目录区分 zh.example.com / en.example.com），直接关闭动态切换，白名单问题自然消失。
修改 config/lang.php：
- 将
'switch' => true改为'switch' => false - 确保
'default_lang'设置正确（如'zh-cn'） - 删除所有对
$request->param('lang')的手动调用，避免绕过开关
此时 Lang::load() 不再解析用户输入的 lang，只按 default_lang 加载，路径完全可控。这是官方在 6.0.14 版本中默认强化的安全策略——能关就关，比补漏可靠。
升级到 6.0.14+ 后仍需检查路径规范化
即使升级到修复版本，Lang::load() 内部加了 realpath() 和路径前缀校验，但前提是你的语言包路径本身规范。常见翻车点：
- 语言包路径写成
app/lang/zh_CN.php（下划线）：框架会转成小写短横线格式，但realpath()校验失败，返回空或报错 - 自定义
lang.path配置指向软链接目录：realpath()解析后可能超出预期根路径，导致校验不通过 - 多应用模式下，各应用的
lang路径未独立配置：主应用白名单生效，子应用仍走默认路径，校验失效
验证方式：临时在 Lang::load() 调用前后加日志，输出 $file 和 realpath($file)，确认两者都落在 lang/ 目录内。路径问题比逻辑漏洞更难排查，往往卡在大小写、符号、链接这几处。
