パストラバーサルとLFIの脆弱性は、ファイルパスパラメータに../シーケンスを注入することで、機密ファイルの読み取りやリモートコード実行への昇格を可能にします。この記事では、攻撃者が実際に使うバイパスエンコーディングと、Python・PHP・Node.jsでこれを防ぐrealpath()+プレフィックスチェックのパターンを解説します。