url.parse会阻止网址中的../吗？

Question

我希望允许提供名为public的目录中的所有内容。我所拥有的是：

let uri = require('url').parse(req.url).pathname;
let filePath = `${publicDir}/${uri}`;
// then simply check if the file exists.

url.parse返回的对象上的pathname属性是否受到注入攻击？我不知道他们会是什么。但例如mysite.com/../../users/等攻击。