任意文件读取，任意本质上是文件**访问控制失效**。它不属于注入，读取洞也不属于XSS，属于什漏更不是任意简单的配置错误——它是一个“权限边界被击穿”的问题。攻击者利用应用对文件路径的文件信任，把本该只读指定目录的读取洞请求，篡改成读取服务器上任意位置的属于什漏敏感文件。

举个真实例子。任意某后台系统有个导出功能，文件URL长这样：download.php?读取洞file=report_2024.pdf。开发时只想着从固定目录取文件，属于什漏没校验用户传入的任意file参数。攻击者把参数改成../../../../etc/passwd，文件服务器就把系统用户列表吐了出来。读取洞更狠的，改成../../../../proc/self/environ，能直接看到数据库密码或云服务密钥。这类漏洞在2019年某知名OA系统的多个版本里连环爆出，攻击者用一招路径穿越，把几千家企业的数据库配置全拖走了。

为什么说它是“访问控制”而非“代码注入”？因为攻击者没有改变服务端执行逻辑，也没注入SQL或命令。他只是巧妙地利用了**文件系统路径解析规则**——../往上跳目录，绝对路径直接指哪打哪。服务器按正常流程打开文件，只是被诱导打开了不该打开的那一个。这就像小偷没撬锁，而是发现管理员把备用钥匙挂在了门口。

这类漏洞还有个隐蔽变种：**符号链接攻击**。攻击者先上传一个软链接文件，指向/etc/shadow，再触发下载功能去读取它。此时连路径穿越都不需要，服务器老老实实跟着链接走。2017年某云存储厂商就因此泄露过大量用户身份凭证，而漏洞根源只是上传接口没禁止symlink类型文件。

修复思路也直指访问控制核心——**白名单校验**。别黑名单过滤../，那会被编码绕过（..%2f、....//之类）。正确做法是：先解析出真实绝对路径，再检查它是否以允许的目录前缀开头。同时禁用符号链接，或对上传文件做类型强制。PHP里用realpath()，Java里用Path.normalize()，都是干这个的。

但更关键的是开发者的心智模型。很多程序员把“用户输入”等同于“字符串”，忘了它还能是路径、URL、甚至对象引用。任意文件读取的根因，是**信任了用户对文件系统的导航能力**。只要记住：任何由客户端提供的路径信息，都必须视为不可信指令，而非待拼接的字符串。

这类漏洞评级通常在中危到高危之间。如果只能读普通配置文件，算中危；能读到密钥、数据库密码或源码，直接高危。毕竟拿到源码后，审计出更多漏洞只是时间问题。我见过最讽刺的案例，某站点用任意文件读取拿到了backup.zip，里面正好存着整个Web目录——攻击者连渗透都省了，直接下载源码慢慢看。

所以别把任意文件读取当小毛病。它是攻击链上极好用的跳板，常与SSRF、RCE串成组合拳。修好它，等于堵住了一扇通往服务器内脏的后门。