【php】「設定された解凍先フォルダの下位以外には解凍できません」とlhaplusで表示されzipを解凍できない

Question

###わからないこと
いつもお世話になっております。
この度、phpでzipファイルを作成し、それを解凍しようとしたのですが、できませんでした。
異なるディレクトリ内に保存したファイルを別のディレクトリにzipで固めたものを解凍しようとしたのですが、原因の解消方法を見つけることができません。
ご教授いただければ幸いです。

$zip = new ZipArchive();
$fileNameId = 5555;
$fileName = $fileNameId.'.zip';
$filePath = storage_path("app/public/history/{$fileName}");
$cvPath = public_path("img/career_paper/cv/{$fileNameId}");
$res = $zip->open($filePath, ZipArchive::CREATE);
if ($res === true) {
if(file_exists($cvPath)) {
    foreach(glob($cvPath.'/*') as $cvFile) {
        if(is_file($cvFile)) {
             $zip->addFile($cvFile, $cvFile);
        }
    }
　　$zip->close();
}
}

よろしくお願いいたします。

##解決方法

tacsheaven様のアドバイスから解決方法を見つけることができましたので、下記に記載いたします。同じようにお困りのかたに参考になれば幸いです。

追加コード含め前後のコード

foreach(glob($cvPath.'/*') as $cvFile) {
    if(is_file($cvFile)) {
        $name = basename($cvFile, PATHINFO_BASENAME);
        $zip->addFile($cvFile, $name);
    }
}

上記のようにファイル名を含んだパスからファイル名のみを抜き出し（「basename($cvFile, PATHINFO_BASENAME);」にあたります）、その名前でzipファイルに保存するという処理を書き加えれば、そのzipファイルが解凍できないという問題を解決することができます。

Answer 1

セキュリティ上の観点から、相対パスで上位を見るような格納をしているもの（../foo/bar とか）や、絶対パスが書かれているもの（/tmp とか）は、展開を許さないデアーカイバは多いです。
※これらを許してしまうと、例えば「/Windows/notepad.exe」なんて形で悪意のあるプログラムを潜り込ませることができてしまうという懸念があるため

まずどういうパスで格納されているのか、出来上がった zip ファイルのファイル一覧を取り出してみることです。
多分 foreach で回している $cvFile が絶対パスになっていると思います。

Comments

[退会済みユーザー]

ご回答ありがとうございます。
ご指摘の通り、$cvFileは絶対パスになっていました。
となりますと、どこであろうとファイルをzipで固めることはできないのでしょうか？
同じpublic_path内であれば可能でしょうか？

[tacsheaven]

問題は絶対パスを指定して固めている点にあるのです。
$cvFile が絶対パスになってしまうのは仕方が無いので、格納するパスを相対パスになるように加工することになります。といっても、$cvFile は「必ず」$cvPath の配下になるわけですから、$cvFile は $cvPath を含んでいることになります。
※$cvFile は、$cvPath + '/' + 相対パス となっているはず
であれば、$cvFile の先頭から $cvPath + '/' 分だけ取り除いた部分を、格納パスにすればよいのです。

[退会済みユーザー]

$cvFileですが、絶対パスでのみ構成されているのですがその場合はファイル名以外を除去して、それを格納するかたちでしょうか？

[退会済みユーザー]

解決させることができましたので、質問欄の下に書きます。
後ほどベストアンサーとさせていただきます
ありがとうございます！