Symfony 5.4 中安全拼接文件路径应优先使用 Path::join() 自动规范化和平台适配，再用 Path::canonicalize() 净化并校验是否越界根目录，严禁手动字符串连接。
在 Symfony 5.4 中，安全拼接文件路径的核心是**避免手动字符串连接**（如 $dir . '/' . $file），防止跨平台分隔符不一致、多余斜杠、目录遍历（../）等风险。推荐统一使用 Symfony\Component\Filesystem\Path 类的静态方法，它自动处理规范化、平台适配和安全性校验。
用 Path::join() 拼接路径（最推荐）
Path::join() 是专为安全拼接设计的方法，支持任意数量的路径段，自动：
- 统一使用正斜杠
/作为分隔符（Windows 下也兼容） - 规范化结果：合并重复斜杠、解析
.和..（例如Path::join('/var/www', '..', 'log', 'app.log')→/var/log/app.log） - 不接受空段或纯空白段，抛出
InvalidArgumentException
示例：
use Symfony\Component\Filesystem\Path; $base = '/var/www/app'; $file = 'config/database.yml'; $path = Path::join($base, $file); // → '/var/www/app/config/database.yml' // 支持多段、含变量 $env = 'prod'; $full = Path::join($base, 'var', 'cache', $env, 'app.php'); // → '/var/www/app/var/cache/prod/app.php'
用 Path::canonicalize() 处理已有拼接字符串
如果你已通过其他方式得到一个路径字符串（比如用户输入、配置项），需先做安全净化，再使用 Path::canonicalize()：
- 它会移除冗余分隔符、展开
./..，并转换为绝对路径（若原路径为相对路径，则基于当前工作目录补全） - 注意：它不校验路径是否存在，也不阻止恶意构造的
../上溯，所以仅用于“净化”，不能替代输入验证
示例：
$unsafe = '/var/www/app/../tmp/../../etc/passwd'; $safe = Path::canonicalize($unsafe); // → '/etc/passwd' —— 仍危险！需配合白名单或根目录约束
✅ 正确做法：拼接前限制基础目录范围：
$root = '/var/www/app';
$userInput = '../uploads/photo.jpg';
$joined = Path::join($root, $userInput); // → '/var/www/app/../uploads/photo.jpg'
$normalized = Path::canonicalize($joined); // → '/var/www/uploads/photo.jpg'
// 再检查 $normalized 是否仍以 $root 开头，否则拒绝
if (!str_starts_with($normalized, $root)) {
throw new \RuntimeException('Path traversal attempt detected');
}
不建议的做法
以下方式容易出错，应避免：
- 直接用 PHP 原生
dirname()+ 字符串拼接：无法跨平台，不处理.. - 用
sprintf('%s/%s', $a, $b)：可能产生双斜杠//或 Windows 反斜杠\ - 依赖
realpath()：会解析符号链接，且在路径不存在时返回false，行为不稳定
Path 类本身不执行 I/O，只做字符串运算，因此拼接过程零副作用、高性能。只要坚持用 join() 起手，再辅以必要的路径范围校验，就能覆盖绝大多数安全场景。
