Можно ли в nginx подняться выше document root через URI запроса?

Question

[Сергей Пуговкин]

nginx.org/ru/docs/http/ngx_http_core_module.html#v...

$request_filename
путь к файлу для текущего запроса, формируемый из директив root или alias и URI запроса

А если URI вида '/../../../etc'. Учитывает ли это nginx, ограничивая запрос до document root?

Будет ли такая конструкция безопасна?

root /home/sergey/www;
location / {
    try_files $uri $uri/ =404;
}
location ~ \.lua$ {
    default_type text/html;
    content_by_lua_file $request_filename;
}

Comments

[Wexter]

Мне интересно, что мешает вам проверить самостоятельно?

Answer 1

[Boris Köln]

Безопасно. Указанием "../" в URI подняться выше root нельзя.

Comments

[Dark Hole]

Ну если не считать каких-нить эксплойтов... хотя о чем я?

[nirvimel]

ИЧХ достигается это очень просто безо всяких рокет-сайнсов.
Для этого достаточно сначала резолвить все относительные пути и только потом дописывать полученную строку к root.

[Boris Köln]

Если у разработчика кривые руки, то Nginx в этом не виноват.