如何在nodejs中优雅地保护readFileSync'../'注入？

Question

我有这个代码，fileName来自url：

        fs.writeFileSync('./db/files/' + fileName, buf);

我怎样才能优雅地保护注射？