filepath.clean不是安全过滤器，仅做路径语义压缩：合并重复分隔符、消除./、解析../，不校验存在性、不防越界、不处理编码或非法字符，必须配合解码、统一分隔符、白名单校验等步骤才能保障安全。
filepath.Clean不是字符串清洗函数，它只做路径语义压缩
很多人把 filepath.Clean 当成“防遍历的字符串过滤器”，这是根本性误解。它不删字符、不校验、不拒绝任何输入——filepath.Clean("../../etc/passwd") 返回 "../etc/passwd"，filepath.Clean("%2e%2e%2fetc%2fpasswd") 甚至原样返回（因为没解码）。它只是把 a/./b/../c 变成 a/c，仅此而已。
真正需要的是「清洗」：剥离控制字符、统一编码、标准化分隔符、再做语义校验。这三步缺一不可。
- 先调
url.PathUnescape解码一次（且仅一次），否则%2e%2e直接绕过所有后续检查 - 立刻检查是否含
（Windows 分隔符）、或CON/AUX等设备名——这些必须在Clean前就拒掉 - 用
strings.ReplaceAll统一分隔符：strings.ReplaceAll(path, "\", string(filepath.Separator))，再strings.ReplaceAll(..., "/", string(filepath.Separator))
filepath.Base 是文件名提取的唯一安全起点
用户传来的 "sub/dir/../../secret.yaml" 不该靠 Clean 救，而该直接砍掉路径部分。Go 提供了 filepath.Base，它只取最后一个分隔符后的片段，且自动剥离 .. 和 . ——filepath.Base("a/b/../c.txt") 返回 "c.txt"，filepath.Base("../etc/passwd") 返回 "passwd"。
注意：Base 不处理编码，所以必须在解码后调用；也不校验扩展名，业务需额外白名单：
- 提取后立即检查后缀：
if !strings.HasSuffix(filename, ".pdf") { return errors.New("invalid extension") } - 拒绝以
.开头的文件名（如.gitconfig），除非业务明确允许 - 若允许中文或 emoji，需确认是合法 UTF-8：
utf8.ValidString(filename)
拼接必须用 filepath.Join，禁止字符串拼接
"uploads/" + userInput 或 fmt.Sprintf("uploads/%s", userInput) 在 Windows 上会生成 uploads/filename.txt，但 os.Open 可能失败，filepath.Dir 解析也会出错。更危险的是，这类拼接让 ../ 直接穿透到上层目录。
filepath.Join 是 Go 唯一可信赖的路径构造方式，但它不等于安全——它只是起点：
-
filepath.Join("uploads", "../etc/passwd")结果是"uploads/../etc/passwd"，仍需后续Clean+ 白名单校验 - 永远不要把用户输入当路径组件传入
Join；应先Base提取文件名，再Join("uploads", safeName) - 若必须保留子目录结构（如多级上传），应拆解路径：
filepath.Join("uploads", strings.Split(userInput, "/")...)，再逐段Base校验
白名单校验必须用 filepath.Rel 或 strings.HasPrefix，且 cleanRoot 要带分隔符
校验不能靠 strings.Contains 或长度判断。strings.HasPrefix(cleanedPath, cleanRoot) 看似简单，但漏掉结尾分隔符会导致 /var/www/upload 匹配 /var/www/uploads/config.yaml。
正确做法是：
- 先算
cleanRoot := filepath.Clean("./uploads")，再补分隔符：cleanRoot + string(filepath.Separator) - 比较时用
strings.HasPrefix(cleanedPath, cleanRootSep)或cleanedPath == cleanRoot - 更稳的方式是
rel, err := filepath.Rel(cleanRoot, cleanedPath)；若err != nil或strings.Contains(rel, "..")，说明越界，必须拒绝 - Windows 下
filepath.Rel返回的仍是/分隔符，不影响判断逻辑
最后一步常被跳过：即使路径通过所有校验，打开前仍要用 os.Lstat 检查是否为符号链接，再决定是拒绝还是用 filepath.EvalSymlinks 重新校验真实路径——Clean 不解决符号链接问题，也不堵 TOCTOU 竞态窗口。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
