在没有此标志的系统上模拟 O_NOFOLLOW 的好方法是什么？

Question

我希望能够安全地使用 O_CREAT | 模拟 open O_WRONLY | O_TRUNC | O_NOFOLLOW 和 O_CREAT | O_WRONLY | O_APPEND | O_NOFOLLOW 在不支持 O_NOFOLLOW 的系统上。我可以在某种程度上实现我的要求：

struct stat lst;
if (lstat(filename, &lst) != -1 && S_ISLNK(lst.st_mode)) {
    errno = ELOOP;
    return -1;
}

mode_t mode = S_IRUSR | S_IWUSR | S_IRGRP | S_IWGRP | S_IROTH | S_IWOTH;
int fd = open(filename, O_CREAT | O_WRONLY | O_TRUNC | O_NOFOLLOW, mode);

但随后我引入了竞争条件，可能还引入了安全问题。

我考虑过创建一个只有用户能够写入的虚拟文件，有点像 touching filename，进行 lstat 检查，然后在我完成写入后使用 chmod （以更正文件模式位），但我可能会忽略一些主要内容（例如，如果 filename 处的文件存在，则不是常规文件，或者已经是符号链接）。

你怎么认为？

Answer 1

你的提案仍然存在竞争条件：

• Mallory 创建他希望你关注的链接；
• 您使用 O_CREAT open() 链接；
• Mallory 将链接替换为常规文件；
• 您执行 lstat() 测试，该测试通过（不是链接）；
• Mallory 再次用链接替换常规文件。

对于非 O_TRUNC 情况，您可以通过在打开的文件描述符上调用 fstat() 以及在路径上调用 lstat() 来修复此问题，并确保 .st_dev 和 .st_ino 成员相同。

但是，如果您使用 O_TRUNC，则此方法不起作用 - 当您发现欺骗时，为时已晚 - Mallory 已经诱导您截断您的一个重要文件。

我相信在没有 O_NOFOLLOW 支持的情况下消除漏洞的传统方法是：

• 使用模式 700 创建一个临时目录。如果 mkdir() 由于现有目录而失败，则出错（或重试）；
• 在临时目录中创建新文件；
• 使用rename()自动将临时文件移动到目标名称；
• 删除临时目录。