D言語の単体機能で、ファイルレースコンディションを防ぐ方法

Question

現在D言語でファイルを扱うプログラムをテストで組んでいます。
以下のようなコードはファイルレースコンディション脆弱性を含みます。
これを防ぐにはD言語が提供するAPI以外（OS依存）でやらないと実現できないのでしょうか。

void main()
{
    string path="test.bin";

    // ファイルがなければ新規作成
    if(!exists(path)){
        // このタイミングで新規作成するファイル名が
        // シンボリックリンクにすり替えられると
        // リンク先が空ファイルとなり破壊される。
        scope File fp = File(path,"wb"); // 空ファイル新規作成
        writeln("created.");
    }
    // シンボリックリンクだったら終了する
    if(isSymlink(path)){
        return;
    }
    // ここから
    writeln("no symlink.");
  // このタイミングでシンボリックリンクへの
    // すり替えが行われると
    File fp = File(path,"rb+");
    // ↓のファイル書き換え処理によるリンク先の書き換えが発生
    fp.rawWrite([0,20,30,40]);
}

現状、WindowsとLinux用にソースを分けて書くくらいしか考えられておりませんが、D言語の標準ライブラリで可能ならそちらで対応したいと思っています。
標準ライブラリにアトミックにこれら一連の（チェック&作成、チェック&オープン）処理を行う機能はありますでしょうか。

以上、ご回答のほど宜しくお願い致します。

Answer 1

回答者様へは申し訳ありませんが、そのままではコードを使うことができないため
BA取り消しさせていただきました・・・
回答について検証を致しましたので、頂いた回答への補足を致します。
また、やはり標準ライブラリでは解決できそうにないため、OS毎にコードを分ける実装をしたいと思います。

お手数をおかけいたしました。
ありがとうございます。

実際にコードを書く際は以下のケース等に配慮することが必要です。

// --略--
    try {
        // ファイルがなければ新規作成（ここでファイルが有った場合を考えます）
        if (!exists(path)) {
            new_file = true;
            scope File fp = File(path, "ab");
            writeln("Creating new file...");
        } else if (exists(path) && isDir(path)) {
            writeln("File is directory.");
            writeln("exit...");
            return;
        } else if (exists(path) && path.isSymlink) {
            writeln("File is symlink.");
            writeln("exit...");
            return;
        }
        // exists関数で「ファイルが存在する」という判定だった場合
        // 下記の点に気を付ける必要があります。
        // このコメント行のタイミングでファイル（実体）のすり替えが起こると
        // 本来は意図しないファイルの書き換えが起こる可能性があります。
        // ケース：他アプリでテスト用ファイルを削除、
        //         本番用ファイルに差し替える操作が
        //         ここの僅かなタイミングで発生した場合、
        // 被害：本番用ファイルが書き換えられるの等問題が発生する恐れがあります。
        // =>最初に確認したファイルと開いたファイルの実体不一致による不具合の発生の恐れ。
        // 対策：ファイルの存在確認からファイルのオープンをアトミックに行うこと

        File fp = File(path, "rb+");
        if (isDir(path)) { // ディレクトリではないので入らない
            writeln("File is directory.");
            writeln("exit...");
            return;
        } else if (path.isSymlink) { // シンボリックリンクではないので入らない
            writeln("File is symlink.");
            writeln("exit...");
            return;
        } else if (new_file == true && fp.size != 0) { // 新規作成ではないので検知不能
            //新しいファイルを作成してファイルサイズが0でないとき何らかの改ざんがなされていると仮定する
            writeln("Error.");
            return;
        } else {
            writeln("File is no symlink.");
        }
        // 本番用ファイルの書き換えが発生=意図しないファイルの破壊
        fp.rawWrite([0, 20, 30, 40]);
...

Answer 2

自分もプログラミング初心者なので、ファイルレースコンディションへの対策法は知らないです。
なので思いついた改善点だけ列挙します。

単純にファイルを新規に作成するだけのところは、
追加書き込み(aとかab)で開く
http://www.c-tipsref.com/reference/stdio/fopen.html

ファイルを読み込む前にファイルをシンボリックリンクに変えられる問題は、
・ファイルを読み込んでらもう一度シムリンクであるかどうかをチェック
・新規作成時であるときに、何もしてないのに0バイトでなかったら改ざんされているので終了

という風にすればいいと思います。

そんな感じで以下のコードになりました。

import std.stdio;
import std.file;


static immutable string path = "test.bin";

void main()
{

	bool new_file = false;

	try {
		// ファイルがなければ新規作成
		if (!exists(path)) {
			new_file = true;
			scope File fp = File(path, "ab");
			writeln("Creating new file...");
		} else if (exists(path) && isDir(path)) {
			writeln("File is directory.");
			writeln("exit...");
			return;
		} else if (exists(path) && path.isSymlink) {
			writeln("File is symlink.");
			writeln("exit...");
			return;
		}

		File fp = File(path, "rb+");

		if (isDir(path)) {
			writeln("File is directory.");
			writeln("exit...");
			return;
		} else if (path.isSymlink) {
			writeln("File is symlink.");
			writeln("exit...");
			return;
		} else if (new_file == true && fp.size != 0) {
			//新しいファイルを作成してファイルサイズが0でないとき何らかの改ざんがなされていると仮定する
			writeln("Error.");
			return;
		} else {
			writeln("File is no symlink.");
		}

		fp.rawWrite([0, 20, 30, 40]);

	} catch (Exception e) {
		writeln(e);
		return;
	}

}

他に思いつく改善点としては
・読み込む前にサイズとか更新日時とかを確認しておき、読み込んだ後比較する
・標準関数からinodeなどの番号を取得する関数を探す
くらいです。

Comments

[v_v]

ファイルの作成を追記モードでやる発想は無かったです。
シンボリックリンクのチェックについてはファイルハンドルを保持している状態であれば、恐らく問題なさそうですね。
少し検証してみます。

具体的な改善点の指摘ありがとうございました。