filepath.join 是文件路径拼接的强制起点，必须用于所有用户输入的路径构造；它自动适配系统分隔符、忽略空段和"."，但不处理".."且遇绝对路径会重置拼接；后续必须配合 filepath.clean 与边界校验（如 filepath.rel）或 os.root 沙箱机制才能防遍历漏洞。
filepath.Join 是路径拼接的强制起点，不是“推荐”而是必须
Go 中任何涉及用户输入的文件路径构造，filepath.Join 是唯一可接受的起点。字符串拼接（+ 或 fmt.Sprintf）会直接导致跨平台失败、no such file or directory 错误，甚至路径遍历漏洞。
-
filepath.Join("uploads", r.URL.Query().Get("file"))看似简单，但若file=../config.yaml，结果就是uploads/../config.yaml—— 运行时等价于config.yaml - 它自动适配分隔符：
filepath.Join("a", "b")在 Windows 返回a\b，Linux/macOS 返回a/b - 它忽略空字符串和
"."，但**不处理".."**；遇到首个绝对路径（如/etc/passwd）会直接重置整个拼接结果 - 传入含分隔符的字符串（如
"sub/dir/file.txt"）是错的；应拆成filepath.Join("data", "sub", "dir", "file.txt")
filepath.Clean 之后必须做边界校验，否则等于没防
filepath.Clean 只做标准化，不防越界。它能把 ../../etc/passwd 变成 /etc/passwd，但不会拦住你打开它。
- 先 clean 再比对：用
strings.HasPrefix(cleanedPath, cleanRoot+string(filepath.Separator))，其中cleanRoot也必须是filepath.Clean("./uploads")的结果 - 更可靠的方式是
filepath.Rel(cleanRoot, cleanedPath)：若返回错误或结果含".."，说明越界 - 硬写
"/"会崩在 Windows 上；一律用filepath.Separator - 仅靠
strings.Contains(cleanedPath, "..")不够，因为filepath.Clean已折叠部分".."，但未消除所有越界可能（如/etc/passwd）
os.Root 是 Go 1.24 起真正解决遍历问题的基础设施
此前所有手动校验都存在竞态窗口（TOCTOU）和符号链接绕过风险。os.Root 把沙箱能力下沉到系统调用层，不再依赖字符串判断。
- 用
root, err := os.OpenRoot("./uploads")获取一个受限根对象，后续所有操作（Open、Create、Lstat）都天然拒绝跳出该目录 - 它自动解析符号链接并验证真实路径是否仍在沙箱内，彻底堵住
ln -s /etc /uploads/evil类攻击 - 不支持 Windows 设备名（如
CON、AUX），避免设备文件误写 - 注意：它不能替代前端校验；仍需提前拒绝含
\x00、控制字符、URL 编码双解码等恶意输入
Web 场景下 URL 解码和扩展名校验不能省略
HTTP 请求中的路径还多一层编码语义，filepath.Clean 对它完全无效。
- 必须在
filepath.Join前做一次且仅一次url.PathUnescape：防止%2e%2e%2fetc%2fpasswd绕过 - 扩展名白名单要严格：用
strings.HasSuffix(filename, ".xml")比正则更安全，避免.xml.bak之类绕过 - 拒绝以
.开头的文件名（如.env、.gitconfig），除非业务明确需要 - Windows 下还需额外检查是否为保留设备名：
filepath.Base后判断是否在[]string{"CON", "AUX", "NUL", "PRN"}中
os.Root，仍要先过滤原始输入里的空字节和控制字符——因为 os.Root.Open 在遇到非法 UTF-8 或 NUL 字节时会直接 panic，而不是返回 error。golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
