laravel upload 软链接，和直接让文件放在 public 下，有什么区别么？这么做是为了什么？

问答 / 6 / 31 / 创建于 3年前

php artisan storage:link

laravel upload 软链接，和直接让文件放在 public 下，有什么区别么？这么做是为了什么？
//: <> (对待提问越认真，就越容易得到答复。)
//: <> (对待提问越认真，就越容易得到答复。)
//: <> (对待提问越认真，就越容易得到答复。)
//: <> (重要的事情说三遍！)

1. 运行环境

1). 当前使用的 Laravel 版本？

2). 当前使用的 php/php-fpm 版本？

PHP 版本：

php-fpm 版本：

3). 当前系统

4). 业务环境

5). 相关软件版本

2. 问题描述？

3. 您期望得到的结果？

4. 您实际得到的结果？

upload link 软链接

zion_xayts_com

34 声望

暂无个人描述~

1 人点赞

以构建论坛项目 LaraBBS 为线索，展开对 Laravel 框架的全面学习。应用程序架构思路贴近 Laravel 框架的设计哲学。

我们将带你从零开发一个项目并部署到线上，本课程教授 Web 开发中专业、实用的技能，如 Git 工作流、Laravel Mix 前端工作流等。

推荐文章：

更多推荐...

博客

Clarity——微软开源并完全免费使用的新一代网站体验分析利器 12 / 1 |

博客

失业两个月找存在感系列——几行代码轻松实现laravel链式追踪，一分钟快速排查系统问题 26 / 19 |

分享创造

php mysql 连接池解决方案 15 / 5 |

博客

[扩展包] Laravel-softdeletes 让数据表支持唯一索引，用于替代内置的软删除功能 16 / 4 |

翻译

面向接口编程 - Laravel 实践 30 / 3 |

Diudiuuuu

见习助教 85 声望

最佳答案

没区别,纯粹就是框架自己定义的,什么安全那都是胡扯

3年前评论

讨论数量: 31

忆往昔弹指间

620 声望

更多的是安全问题，storage目录程序可能需要 r w x 权限，如果放置到 public 下，用户恶意上传，亦或者框架或第三方包有严重漏洞，那么这里就会有 w x 风险。

通过软链方式，可以把 public目录下的静态资源，控制为仅有 r 权限

3年前评论

忆往昔弹指间（作者）

@llii 复现也很简单，你写个图片上传接口，然后写个shell，伪装成image.jpg文件，上传成功后，其实这时候攻击者就潜伏进来了，埋下了伏笔，这时候他是无法执行该脚本的，因为执行权限问题，但当有一天，你因为某些原因，赋予了public目录下执行权限的时候，攻击者通过访问 shell文件的url进行了shell命令触发，这时候得以执行

zion_xayts_com （楼主）

如果只说，上传的图片，excel 等文件呢，不包括执行文件；；；我试下如果软链的形式访问 .php 后缀的文件，也可以执行吧？

zion_xayts_com （楼主）

@llii 我下去操作下

忆往昔弹指间（作者）

@llii 这个事情没有如果，比如你的上传接口，本意是让用户上传.jpg文件，但是你能保证项目的开发成员或者第三方包，写的上传接口，进行了文件类型的强效验吗？显然你无法保证。然后再和你分享一个真实案例（该行为市面上非常多开发者在这么干），当读写public目录报权限拒绝的时候，很多人贪图方便，直接赋予了 public 目录777权限，我所知，tp5框架，你给了777权限，会有get_shell漏洞，曾遇过public被别人注入了一个静态网页项目

zion_xayts_com （楼主）

如果 public upload 目录不给 777 权限呢？这样 storage upload 的软连接，和 public upload 是不是就没有区别了？

忆往昔弹指间（作者）

@llii 是的，你可以这么认为，在严格控制权限，程序安全的情况下，是一样的。

zion_xayts_com （楼主）

ok 感谢

zion_xayts_com （楼主）

不过现在都是 oss 了，哈哈哈

zion_xayts_com （楼主）

我试了下，软链方式，软连接的文件和源文件是一直一致的（修改一个会影响另一个），并且：给个读（444，第三个（其他）为4，）（R或是4）就可以执行php 文件

zion_xayts_com （楼主）

通过软链方式，可以把 public 目录下的静态资源，控制为仅有 r 权限？这个能讲下，你是怎么做的，我试了下，软链的和源文件，权限是相同且同步的

zion_xayts_com （楼主）

现在尝试的结构是，文件权限给读，php 文件访问到就可以执行，你这说的有问题，还是我没有理解？？？？？？？？？？

zion_xayts_com （楼主）

@忆往昔弹指间现在尝试的结果是，通过 uri 访问，有 r 权限的 php 文件，就可以执行代码

MArtian

版主 3.8k 声望

Storage 和 Public 文件夹做软连接是因为：

Laravel 框架中文件系统 Storage 本地存储是对项目中 storage/app 文件夹进行读写，但是这个文件夹并不对外访问。所以要做软连接，让 /public 来访问 storage/app/public 文件夹的资源。

文件存储《Laravel 9 中文文档》

3年前评论

zion_xayts_com （楼主）

但是，放到 public 下就对外访问了，软连接的效果和直接放到 public 下是一样的啊；如果你意思是，storage的定义就是本地存储，软连接只是一个为了保持storage 统一和外部访问没问题的《设计》？

MArtian （作者）

@llii 但是没设置软连接之前，你是不能访问 storage/app/ 文件夹内的文件的，因为目录保护，只能写不能读，你设置软连接的目的是通过 /public 访问 /storage/app/public 里面的文件

zion_xayts_com （楼主）

是的，但是比如上传文件这里，直接将文件放到 public/uploads 下，和在storage/uploads 下, 有什么区别呢？

MArtian （作者）

@llii Storage 本地存储默认不能操作 /storage 文件夹以外的文件，如果你不做软连接，就不能把它放在 /public/uploads 文件夹。你如果不使用 Storage 本地存储，用其他方法上传文件你想放哪都可以。但只有 public 文件夹对外开放访问。

zion_xayts_com （楼主）

@MArtian 了解了，上面的评论说啥子，权限的问题，但其实，storage 软连接的权限，和 public 下的权限是一样的，没啥区别

MArtian （作者）

@llii emmmm，这个权限是你自己分配的，一般 public 不要给执行权限，只给读写，也就是775，storage 文件夹一般是给 777 权限

MArtian （作者）

@llii 上面的评论应该是从安全角度出发回答的，其实也没什么问题。前端上传的文件是不能信任的。

zion_xayts_com （楼主）

但是源文件和软链接的权限是相互影响的

zion_xayts_com （楼主）

@MArtian 如果用户上传.php 后缀的文件到你的public目录了，只要能访问到（也就是读权限），就可以进行执行

MArtian （作者）

@llii 也对

zion_xayts_com

34 声望

但是，放到 public 下就对外访问了，软连接的效果和直接放到 public 下是一样的啊

3年前评论

laravel_peng

版主 903 声望 / 技术员 @ 修炼的漱石

应该有这几个方面：

减少 public 文件夹下文件的混乱度，统一放到 storage 下，一个软连命令执行后，Public 下也就多了一个文件夹。
storage 是 Laravel 框架资源文件存储的主要文件夹。
这里的资源，可以框架自己可见，也可以被公开可见。
需要公开的资源就用 public 驱动，不需要就用 local 或其他。
约定俗成 - 「Convention Over Configuration」，优先选择框架提倡的做法，不过度配置；
不过人家也开放了配置项，你可以自定义一些文件存储路径。

3年前评论

leo

管理员 4.7k 声望 / Engineering Director of Backend @ RightCapital

可以不用软链，只需要把 config/filesystems.php 里 disks.public.root 改成 public_path('upload') 即可，只不过你需要自己建一下这个文件夹

3年前评论

忆往昔弹指间

620 声望

通过软链方式，可以把 public目录下的静态资源，控制为仅有 r 权限

3年前评论

忆往昔弹指间（作者）

zion_xayts_com （楼主）

如果只说，上传的图片，excel 等文件呢，不包括执行文件；；；我试下如果软链的形式访问 .php 后缀的文件，也可以执行吧？

zion_xayts_com （楼主）

@llii 我下去操作下

忆往昔弹指间（作者）

zion_xayts_com （楼主）

如果 public upload 目录不给 777 权限呢？这样 storage upload 的软连接，和 public upload 是不是就没有区别了？

忆往昔弹指间（作者）

@llii 是的，你可以这么认为，在严格控制权限，程序安全的情况下，是一样的。

zion_xayts_com （楼主）

ok 感谢

zion_xayts_com （楼主）

不过现在都是 oss 了，哈哈哈

zion_xayts_com （楼主）

通过软链方式，可以把 public 目录下的静态资源，控制为仅有 r 权限？这个能讲下，你是怎么做的，我试了下，软链的和源文件，权限是相同且同步的

zion_xayts_com （楼主）

现在尝试的结构是，文件权限给读，php 文件访问到就可以执行，你这说的有问题，还是我没有理解？？？？？？？？？？

zion_xayts_com （楼主）

@忆往昔弹指间现在尝试的结果是，通过 uri 访问，有 r 权限的 php 文件，就可以执行代码

zion_xayts_com

34 声望

如果 public upload 目录不给777权限呢？
这样 storage upload 的软连接，和 public upload 是不是就没有区别了？

3年前评论

杨柳岸

Laravel 8.x 译者 55 声望

config/filesystems.php 除了安全，还是为了让开发者可以自己控制哪些资源目录对外访问

'links' => [
        public_path('storage') => storage_path('app/public'),
 ],

3年前评论

Diudiuuuu

见习助教 85 声望

没区别,纯粹就是框架自己定义的,什么安全那都是胡扯

3年前评论

learnkuLopk

7 声望

个人觉得是为了方便管理，将用户资源和系统资源分开，在做迁移或共享的时候比较方便。

3年前评论

讨论应以学习和精进为目的。请勿发布不友善或者负能量的内容，与人为善，比聪明更重要！

帮助

laravel upload 软链接，和直接让文件放在 public 下，有什么区别么？这么做是为了什么？

1. 运行环境

1). 当前使用的 Laravel 版本？

2). 当前使用的 php/php-fpm 版本？

3). 当前系统

4). 业务环境

5). 相关软件版本

2. 问题描述？

3. 您期望得到的结果？

4. 您实际得到的结果？

推荐文章：

高认可度评论：

应该有这几个方面：

社区赞助商

关于 LearnKu

资源推荐

服务提供商

其他信息

laravel upload 软链接 ，和 直接让文件放在 public 下，有什么区别么？这么做是为了什么？

1. 运行环境

1). 当前使用的 Laravel 版本？

2). 当前使用的 php/php-fpm 版本？

3). 当前系统

4). 业务环境

5). 相关软件版本

2. 问题描述？

3. 您期望得到的结果？

4. 您实际得到的结果？

推荐文章：

高认可度评论：

应该有这几个方面：

社区赞助商

关于 LearnKu

资源推荐

服务提供商

其他信息

请登录

laravel upload 软链接，和直接让文件放在 public 下，有什么区别么？这么做是为了什么？