ディレクトリ一覧による情報漏えい

package main

import (
    "log"
    "net/http"
)

// 変更前: プロジェクトルートをそのまま公開
func main() {
    // 現在のディレクトリ(".")をFileServerで公開
    fs := http.FileServer(http.Dir("."))

    // サーバー上でhttp://localhost:8080/へアクセスすると
    // ディレクトリ一覧や内部のファイルが見える可能性
    http.Handle("/", fs)

    log.Fatal(http.ListenAndServe(":8080", nil))
}

package main

import (
    "log"
    "net/http"
    "os"
    "path/filepath"
)

// 変更後: 
// 1) 静的ファイル専用ディレクトリだけを公開
// 2) 提供前に機密ファイル名を検査

// 公開用の静的ファイルだけを置くディレクトリ
const staticDir = "./public"

// 一部の機密ファイル名・拡張子を拒否する例
func isForbidden(path string) bool {
    base := filepath.Base(path)
    if base == ".env" || base == "config.yaml" || base == "config.yml" {
        return true
    }
    ext := filepath.Ext(path)
    switch ext {
    case ".log", ".bak", ".old", ".zip":
        return true
    }
    return false
}

func secureStaticHandler(w http.ResponseWriter, r *http.Request) {
    // 静的ファイルのパスを計算
    cleanPath := filepath.Clean(r.URL.Path)
    fullPath := filepath.Join(staticDir, cleanPath)

    if isForbidden(fullPath) {
        http.NotFound(w, r)
        return
    }

    // ファイルの存在を確認
    info, err := os.Stat(fullPath)
    if err != nil || info.IsDir() {
        // 一覧を表示せず、ディレクトリ要求を拒否
        http.NotFound(w, r)
        return
    }

    http.ServeFile(w, r, fullPath)
}

func main() {
    // /staticの下だけで静的ファイルを提供
    http.HandleFunc("/static/", func(w http.ResponseWriter, r *http.Request) {
        // /staticの接頭辞を除去して内部ハンドラーを呼ぶ
        r.URL.Path = r.URL.Path[len("/static"):]
        secureStaticHandler(w, r)
    })

    // ほかのパスには通常のハンドラーを使用
    http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
        w.Write([]byte("<h1>Home</h1>"))
    })

    log.Fatal(http.ListenAndServe(":8080", nil))
}