直接使用http.handle("/", http.fileserver(http.dir("./")))存在严重安全隐患：默认开放目录遍历（如../etc/passwd）、暴露完整目录结构、无ip访问控制、无身份认证，且remoteaddr含端口导致白名单失效；必须通过路径校验、私有ip判断、basic auth及反代头透传等多重加固方可安全共享。
直接用 http.FileServer 起服务最简单，但默认等于把文件夹裸奔在局域网里——没权限、不防遍历、不拦非法IP、还可能暴露目录结构。真要共享，必须加壳。
为什么不能直接 http.Handle("/", http.FileServer(http.Dir("./")))
这行代码跑起来确实能访问文件，但问题一堆：
- 任意设备（包括外网如果端口被映射）都能 GET 到
../etc/passwd这类路径，filepath.Clean单独调用拦不住绕过 - 浏览器点进目录就列出所有文件，敏感结构全曝光
-
r.RemoteAddr带端口号（如192.168.1.5:42103），用strings.HasPrefix(r.RemoteAddr, "192.168.1.")白名单永远失效 - 没 Basic Auth，密码硬编码在代码里？那源码泄露=文件全丢
如何安全地限制只允许局域网 IP 访问
关键不是“过滤字符串”，而是提取干净 IP 后做网段比对：
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 用
strings.Split(r.RemoteAddr, ":")[0]拿出纯 IP - 再用
net.ParseIP(ipStr).IsPrivate()判断是否为私有地址（自动覆盖10.0.0.0/8、172.16.0.0/12、192.168.0.0/16） - 别自己写正则或前缀匹配，
IsPrivate()更可靠，且兼容 IPv6 - 如果必须限定子网（比如只允
192.168.5.0/24），用ipNet.Contains(net.ParseIP(clientIP))，别手算掩码
怎么防止 ../ 路径遍历攻击
核心是：先转绝对路径，再 clean，最后严格前缀校验：
- 用
filepath.Abs(allowedRoot)得到真实根路径（如/home/user/share） - 对请求路径
r.URL.Path先filepath.Clean，再拼到根路径：filepath.Join(allowedRoot, cleanedPath) - 用
strings.HasPrefix(cleanedAbsPath, allowedRoot)校验——必须完全落在根内 - 额外加一道：若
cleanedPath包含".."或开头不是"/"，直接 403 - Windows 下统一用
filepath.ToSlash()转斜杠再比对，避免\导致前缀失效
Basic Auth 怎么配才不反复弹窗
浏览器弹窗卡住，通常不是认证逻辑错，而是响应头或路径配置问题：
- 确保
WWW-Authenticate头完整：w.Header().Set("WWW-Authenticate", `Basic realm="file-share"`) - 认证失败时返回
401，不是403；成功后必须让后续请求继续走同一 handler，别漏掉next.ServeHTTP(w, r) - 如果服务跑在反向代理（如 Nginx）后面，确认它没吞掉
Authorization头（Nginx 需加proxy_pass_request_headers on;） - 用户名密码别硬编码，至少从环境变量读：
os.Getenv("SHARE_USER")，否则打包成二进制也藏不住
真正难的不是写几行 http.FileServer，而是每一步校验都得考虑真实网络环境里的脏数据和边界情况——比如 RemoteAddr 的端口、UNC 路径的 panic、Windows 斜杠混用、代理吞头。这些细节漏一个，共享服务就从便利工具变成安全隐患入口。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
