漏洞概述 路径遍历漏洞（Path Traversal）：scitokens库在处理token中的scope路径时，未正确验证和规范化路径，攻击者可通过构造包含 或URL编码的遍历序列（如 、 ）的恶意token，绕过路径限制访问未授权文件。 影响范围 受影响组件： Python库 具体位置： 中的路径验证逻辑 版本：修复前版本（合并提交 前） 修复方案 核心修复措施 1. 新增路径规范化方法 ： - 分段解码URL编码字符 - 拒绝空段或 、 等遍历序列 - 双重检查：规范化后再次验证是否以 开头且不含遍历序列 2. 替换原有验证逻辑： - 移除简单的 调用 - 使用自定义的严格规范化流程 3. 新增异常类型： 继承自 关键代码修复 POC/测试用例（提取自测试文件） 测试验证的恶意路径模式