[PHP]非公開領域のファイルを閲覧させないためには？

Question

現在、以下のようなプログラムを書いています。

// GET引数でファイル名を指定
$file_name = $_GET['file'];
$file_path = "/home/hoge/public_html/secret/" . $file_name;

// ファイルの存在を確認。
if ( !file_exists($file_path) ) {
 header('HTTP/1.1 404 Not Found');
}
// ファイルの内容を表示
echo file_get_contents($file_path);

このような書き方ならば、たとえばGET引数に
"../../../etc/passwd"

などを指定されても大丈夫ではないかと思うのですが･･･。
他にも何か対策すべきでしょうか？

Answer 1

GETの引数でファイル名を指定させるのはあまり良いとは思えません。
どうしてもやるなら、GET引数の変数洗浄は必須です。

また上記の例ですと、PHPにはrealpath()という関数があります。
http://php.net/manual/ja/function.realpath.php
これは相対パスでも絶対パスに変換してくれるものです。
これを使ってWebの公開領域の中のファイルであるのかを確認することも必須だと思われます。

http://php.net/manual/ja/function.realpath.php