os.lstat是判断符号链接的唯一可靠方式，因它只读取路径自身inode元数据而不解析链接；需配合evalsymlinks解析真实路径，并用strings.hasprefix校验是否在可信前缀内，三步缺一不可。
os.Lstat 是判断符号链接的唯一可靠方式
想确认一个路径是不是软链接，os.Stat 会直接跳转到目标并返回目标文件信息，完全不可靠；必须用 os.Lstat——它只读取路径自身的 inode 元数据，不解析链接内容。常见错误现象：os.Stat("mylink") 返回 /etc/passwd 的信息，你以为在操作普通文件，其实已落入符号链接陷阱。
注意以下几点：
-
os.Lstat在 rootless 容器或只读挂载点上可能因权限失败，需配合os.IsPermission(err)做降级处理 - Windows 上若链接指向不存在的目标，
os.Lstat可能返回file does not exist，而非明确的链接类型信息 - 坏链（dangling symlink）既不是有效文件，也不是安全链接，但它依然存在——
os.Lstat能看见它，os.Stat和filepath.EvalSymlinks都会失败，这个中间态必须显式处理
filepath.EvalSymlinks 解析路径但不校验安全性
filepath.EvalSymlinks 会递归解析所有符号链接，最终返回一个“物理路径”，但它不做任何访问控制或白名单检查——如果你传入 /var/www/uploads/link_to_etc_passwd，它就真给你返回 /etc/passwd。它只是路径规范化工具，不是安全网关。
使用时务必注意：
- 永远不要单独依赖
filepath.EvalSymlinks做权限判断；它应和白名单前缀比对配合使用 - 解析结果可能超出预期目录层级（如
../../../etc/shadow），需用strings.HasPrefix(realPath, allowedBase)显式校验 - 遇到循环链接时，
filepath.EvalSymlinks默认最多解析 255 层，超限返回too many levels of symbolic links错误
遍历目录时如何防死循环和越权访问
filepath.Walk 默认不跟随符号链接，也不会进入其指向目录——这是设计行为，不是 bug。但如果你手动实现递归遍历（比如用 os.ReadDir + os.Lstat），就必须主动防御循环引用。
Go语言（Golang）1.26.0版本提供 Go 官方 Windows amd64 MSI 安装包下载入口，版本号 1.26.0，可用于旧项目维护、兼容性测试和指定版本开发环境配置。
关键防护动作包括：
- 每次进入新路径前，先调
os.Lstat检查是否为链接：fi.Mode() & os.ModeSymlink != 0 - 记录已访问的绝对路径（建议用
filepath.Clean后的结果），重复出现即中断，避免无限递归 - 对每个解析出的真实路径，必须用
filepath.Clean+strings.HasPrefix校验是否落在可信根目录内，且不含..跳转成分 - 不要在未验证前对
os.Readlink结果做os.Lstat——如果目标本身又是链接，且你没设深度限制，容易栈溢出
TOCTOU 竞争条件是绕过校验的隐性通道
即使你完整执行了 “Lstat → EvalSymlinks → Prefix Check” 三步，仍可能被攻击者利用时间差击穿：第一步检查路径安全，第二步打开文件前，攻击者替换了其中某层符号链接指向敏感位置。
缓解思路有限但必要：
- 尽量缩短检查与使用之间的时间窗口，例如把路径校验和文件打开封装进原子操作（如
os.OpenFile前不暴露中间路径） - 在关键路径上加
os.O_NOFOLLOW标志（Linux 支持，Go 1.22+ 已暴露该 flag），强制拒绝跟随链接 - 生产环境禁用用户可写目录下的符号链接创建权限（如挂载时加
nosuid,noexec,nodev）
最易被忽略的是：硬编码路径拼接、跳过 os.Lstat 直接 EvalSymlinks、或对坏链不做处理——这等于把门钥匙交给攻击者。安全闭环从来不是单点动作，而是每一步都守住自己的责任边界。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
