代码漏洞

@@ -374,6 +374,10 @@ class App
         $controller = strip_tags($result[1] ?: $config['default_controller']);
         $controller = strip_tags($result[1] ?: $config['default_controller']);
         $controller = $convert ? strtolower($controller) : $controller;
         $controller = $convert ? strtolower($controller) : $controller;
 
 
+        if (!preg_match('/^[A-Za-z](\w|\.)*$/', $controller)) {
+            throw new HttpException(404, 'controller not exists:' . $controller);
+        }
+
         // 获取操作名
         // 获取操作名
         $actionName = strip_tags($result[2] ?: $config['default_action']);
         $actionName = strip_tags($result[2] ?: $config['default_action']);
         $actionName = $convert ? strtolower($actionName) : $actionName;
         $actionName = $convert ? strtolower($actionName) : $actionName;