Express res.sendfileが禁止エラーをスローする

私はこのコードを持っています：

res.sendfile( '../../temp/index.html' )

ただし、次のエラーがスローされます。

Error: Forbidden
at SendStream.error (/Users/Oliver/Development/Personal/Reader/node_modules/express/node_modules/send/lib/send.js:145:16)
at SendStream.pipe (/Users/Oliver/Development/Personal/Reader/node_modules/express/node_modules/send/lib/send.js:307:39)
at ServerResponse.res.sendfile (/Users/Oliver/Development/Personal/Reader/node_modules/express/lib/response.js:339:8)
at exports.boot (/Users/Oliver/Development/Personal/Reader/server/config/routes.js:18:9)
at callbacks (/Users/Oliver/Development/Personal/Reader/node_modules/express/lib/router/index.js:161:37)
at param (/Users/Oliver/Development/Personal/Reader/node_modules/express/lib/router/index.js:135:11)
at pass (/Users/Oliver/Development/Personal/Reader/node_modules/express/lib/router/index.js:142:5)
at Router._dispatch (/Users/Oliver/Development/Personal/Reader/node_modules/express/lib/router/index.js:170:5)
at Object.router (/Users/Oliver/Development/Personal/Reader/node_modules/express/lib/router/index.js:33:10)
at next (/Users/Oliver/Development/Personal/Reader/node_modules/express/node_modules/connect/lib/proto.js:199:15)

これがなぜなのか、誰か教えてもらえますか？

それは相対パスのせいだと思います。「../」は悪意があると見なされます。最初にローカルパスを解決してから、を呼び出しますres.sendfile。path.resolve事前にパスを解決できます。

var path = require('path');
res.sendFile(path.resolve('temp/index.html'));

この回答は、他の回答/コメントからの情報をまとめます。

プロセス作業ディレクトリ（cwd）またはファイルディレクトリに関連するものを含めるかどうかによって異なります。どちらもpath.resolve関数を使用します（var path = require('path')ファイルの先頭に配置します）。

• cwdを基準にして： path.resolve('../../some/path/to/file.txt');
• ファイルに対して： path.resolve(__dirname+'../../some/path/to/file.txt');

@Joeのコメントからリンクを読むことから、パスに対するユーザー入力を受け入れる場合、相対パスはセキュリティリスクのように思えます（たとえばsendfile('../.ssh/id_rsa')、ハッカーの最初の試みかもしれません）。

Expressのドキュメントには、それを別の方法をやって示唆し、私の意見では、それは後に現在のソリューションよりも多くの意味があります。

res.sendFile('index.html', {root: './temp'});

rootオプション./は、プロジェクトのルートディレクトリとして設定されているようです。そのため、ファイルがプロジェクトルートとの関係でどこにあるのか完全にはわかりませんが、一時フォルダーがそこにある場合は、./temp送信するファイルのルートとして設定できます。