Como posso garantir com segurança que uma variável contenha apenas um nome de arquivo válido?

Dado o script abaixo, como posso garantir que o argumento contenha apenas um nome de arquivo válido dentro /home/charlesingalls/e não um caminho ( ../home/carolineingalls/) ou curinga, etc?

Eu só quero que o script possa excluir um único arquivo do diretório codificado fornecido. Este script será executado como um usuário privilegiado.

#!/bin/bash

rm -f /home/charlesingalls/"$1"

Se você deseja excluir apenas um arquivo /home/charlesingalls(e não um arquivo em um subdiretório), é fácil: basta verificar se o argumento não contém a /.

case "$1" in
  */*) echo 1>&2 "Refusing to remove a file in another directory"; exit 2;;
  *) rm -f /home/charlesingalls/"$1";;
esac

Isso é executado rmmesmo que o argumento seja .ou ..ou vazio, mas nesse caso rmfalhará inofensivamente ao excluir um diretório.

Os curingas não são relevantes aqui, pois nenhuma expansão de curinga é realizada.

Isso é seguro mesmo na presença de links simbólicos: se o arquivo for um link simbólico, o link simbólico (que está dentro /home/charlesingalls) será removido e o destino desse link não será afetado.

Observe que isso pressupõe que /home/charlesingallsnão pode ser movido ou alterado. Isso deve ser bom se o diretório for codificado no script, mas se for determinado a partir de variáveis, a determinação poderá não ser mais válida no momento em que o rmcomando for executado.

Com base nas informações adicionais de que o argumento é um nome de host virtual, você deve fazer a lista de permissões em vez da lista negra: verifique se o nome é um nome de host virtual sensato, em vez de apenas proibir barras. Verifico se o nome começa com uma letra minúscula ou dígito e se não contém caracteres que não sejam letras minúsculas, dígitos, pontos e traços.

LC_CTYPE=C LC_COLLATE=C
case "$1" in
  *[!-.0-9a-z]*|[!0-9a-z]*) echo >&2 "Invalid host name"; exit 2;;
  *) rm -f /home/charlesingalls/"$1";;
esac

Esta resposta assume que $1é permitido incluir subdiretórios. Se você estiver interessado no caso mais simples, onde $1deve haver um nome de diretório simples, consulte uma das outras respostas.

Os curingas não são expandidos quando estiver entre aspas duplas. Como $1está entre aspas duplas, os curingas não são um problema.

Os ../links simbólicos e podem obscurecer a localização real de um arquivo. Abaixo, são mostrados testes para determinar se o arquivo está realmente, e não apenas aparentemente, no caminho que queremos.

Sistemas mais recentes: usando realpath

Quanto a descobrir se o arquivo é realmente se o arquivo está realmente abaixo /home/charlesingalls/ou não, você pode usar realpath:

realpath --relative-base=/home/charlesingalls/ "/home/charlesingalls/$1"  | grep -q '^/' && exit 1

As execuções acima exit 1se o arquivo especificado pelo $1é em qualquer lugar que não seja sob o diretório /home/charlesingalls/. realpathcanoniza todo o caminho, eliminando os links simbólicos e ../.

realpath faz parte do GNU coreutils e deve estar disponível em qualquer sistema Linux.

realpathrequer GNU coreutils 8.15 (janeiro de 2012) ou melhor .

Exemplos

Para demonstrar como o realpath segue ../para determinar a localização real de um arquivo (por exemplo, a -qopção grep é omitida para que a saída real do grep seja visível):

$ touch /tmp/test
$ realpath --relative-base=$HOME "$HOME/../../tmp/test" | grep '^/' && echo FAIL
/tmp/test
FAIL

Para demonstrar como segue os links simbólicos:

$ ln -s /tmp/test ~/test
$ realpath --relative-base=$HOME "$HOME/test" | grep '^/' && echo FAIL
/tmp/test
FAIL

Sistemas mais antigos: usando readlink -e

readlinktambém é capaz de cononicalizar um caminho, seguindo os links simbólicos e ../:

readlink -e "$HOME/test" | grep -q "^$HOME" || exit 1

Usando os mesmos arquivos de exemplo:

$ readlink -e "$HOME/../../tmp/test" | grep "$HOME" || echo FAIL
FAIL
$ readlink -e "$HOME/test" | grep "^$HOME" || echo FAIL
FAIL

Além de estar disponível em sistemas GNU mais antigos, versões do readlinkestão disponíveis no BSD.

Se você deseja proibir completamente os caminhos, a maneira mais simples é testar se a variável contém uma barra ( /). Na festança:

if [[ "$1" = */* ]] ; then...

Isso bloqueará todos os caminhos, inclusive foo/bar. Você poderia testar .., mas isso deixaria a possibilidade de links simbólicos apontarem para diretórios fora do caminho de destino.

Se você deseja permitir apenas a exclusão de um único arquivo, acho que não deveria estar usando rm -r.

Além disso, dependendo do que você está fazendo, você pode usar as permissões de arquivo do sistema para permitir apenas a exclusão de arquivos que o usuário pode excluir por conta própria. Algo assim:

su charlesingalls -c "rm /home/charlesingalls/'$1'"

Embora, como o @Gilles comentou, isso tenha um problema de citação: falhará se $1contiver uma única citação; portanto, a variável deve ser testada para isso primeiro (com, por exemplo, if [[ "$1" = *\'* ]] ; then fail...ou melhor, colocando na lista branca um conjunto sensível de caracteres) ou o nome do arquivo passado uma variável de ambiente com por exemplo

file="$1" su charlesingalls -c 'rm "/home/charlesingalls/$file"'