filepath.clean仅标准化路径，不防越界，必须先clean再用strings.hasprefix校验白名单前缀（须以/结尾），且需前置url解码、过滤空字节，最后用os.o_nofollow打开。
用 filepath.Clean 和 strings.HasPrefix 做路径白名单校验
直接拼接用户输入的路径再调用 os.Open 是高危操作，filepath.Clean 不是安全函数，它只标准化、不拦截。比如 filepath.Clean("/var/www/../etc/passwd") 返回 /var/etc/passwd，依然越界。
正确做法是：先 filepath.Clean，再检查是否以白名单根目录开头：
- 必须在
filepath.Clean后立刻做strings.HasPrefix(cleaned, allowedRoot)，且allowedRoot本身要以/结尾（如"./data/"），否则"./data2"也会被误判通过 - Windows 下注意盘符，
allowedRoot应为"C:\data\"或统一转成filepath.ToSlash后比对 - 若
cleaned长度小于allowedRoot长度，HasPrefix必然失败，这是正常防护逻辑，无需额外 panic
用 filepath.Rel 反向验证路径是否逃逸
filepath.Rel(allowedRoot, fullPath) 是比字符串前缀更可靠的越界检测方式：它尝试计算 fullPath 相对于 allowedRoot 的相对路径，一旦结果含 ".." 或报错，说明路径逃逸。
Go语言（Golang）1.26.0
下载
Go语言（Golang）1.26.0版本提供 Go 官方 Windows amd64 MSI 安装包下载入口，版本号 1.26.0，可用于旧项目维护、兼容性测试和指定版本开发环境配置。
- 示例：
filepath.Rel("./uploads", "./uploads/../etc/shadow")返回"../etc/shadow"→ 拒绝 - 必须确保
allowedRoot和fullPath都已用filepath.Clean处理过，否则Rel行为不可靠 - 该方法无法防御空字节绕过，仍需前置过滤
为什么不能只依赖 os.Stat 或 os.IsNotExist
os.Stat 只告诉你路径是否存在、是否为目录，但不告诉你“它是不是你允许访问的那个目录”。攻击者可构造符号链接指向系统关键路径，os.Stat 会成功返回，但后续读写就失控了。
- 调用
os.Stat前，路径必须已完成白名单校验；它只用于确认目标存在、是文件/目录、权限是否可读，不是校验环节 -
os.IsNotExist(err)仅用于区分“不存在”和“权限拒绝”，不能替代路径合法性判断 - 竞态条件（TOCTOU）存在：
os.Stat返回 OK，但下一毫秒文件被替换成 symlink → 必须配合最小权限打开（如os.O_RDONLY | os.O_NOFOLLOW）
Web 场景下还要防 URL 编码绕过
用户传来的路径常来自 HTTP 请求，可能含 %2e%2e%2f（即 ../ 的 URL 编码）、%00（空字节）等。这些编码若在 filepath.Clean 之后才解码，就会绕过校验。
- 必须在最开始就调用
url.PathUnescape解码一次，且仅一次（防止双重解码绕过） - 解码后立即检查是否含
- 禁止原始输入中出现
\（Windows 路径分隔符），即使运行在 Linux 上也要拦，避免跨平台混淆
路径校验真正难的不是写几行代码，而是所有校验步骤的顺序不能错：解码 → 清洗 → 字符过滤 → 白名单前缀或 Rel 验证 → 最小权限打开。漏掉任意一环，都可能让 ../ 直达 /etc/passwd。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
