go语言不提供多租户文件系统隔离能力，所有隔离须由应用层显式控制：租户路径必须带tenant_id前缀并校验合法性，禁止路径遍历；文件操作须基于租户上下文，禁止复用全局*os.file；元数据操作需前置路径归属验证。
Go 语言本身不提供多租户文件系统隔离能力，所有隔离必须由应用层显式控制——靠操作系统权限（chmod、chown）或路径命名空间约束，不能依赖 Go 标准库自动兜底。
租户目录路径必须带 tenant_id 前缀，禁止拼接裸路径
直接用 filepath.Join("/data", r.URL.Path) 会暴露全量文件；必须从可信源（如子域名、JWT 声明）提取 tenantID，并强制作为路径第一级：
-
tenantID := extractTenantFromHost(r.Host)（用net.SplitHostPort先剥离端口） - 合法路径仅限
filepath.Join("/data", tenantID, strings.TrimPrefix(r.URL.Path, "/")) - 禁止使用
../回溯：调用filepath.Clean()后比对是否仍以/data/xxx/开头，否则 403 - 上传文件名需重写为 UUID 或哈希，避免保留原始名中恶意字符或路径遍历片段
文件操作必须用租户专属 os.File，不能复用全局 *os.File 实例
打开文件时若未限定租户上下文，一个 goroutine 可能误读其他租户的文件。关键不是“怎么 open”，而是“谁有权 open”：
- 所有
os.Open、os.Create、ioutil.ReadFile等调用前，必须校验目标路径是否属于当前tenantID - 不要缓存
*os.File实例到全局 map——文件句柄无租户语义，且易泄漏 - 若需复用底层资源（如大文件流式处理），应封装为
func(tenantID string) io.ReadCloser，每次调用都做路径校验和权限检查 - Linux 下可配合
syscall.Fchown设置文件属主为租户专用 UID，但需提前创建对应系统用户，运维成本高，中小项目慎用
stat/chmod/chown 操作必须校验租户路径边界
调用 os.Stat 或 os.Chmod 时不校验路径归属，会导致跨租户元数据泄露或篡改：
-
fi, err := os.Stat(path)前必须先调用validateTenantPath(tenantID, path)，确保path是/data/tenant_abc/...形式 -
os.Chmod和os.Chown不支持租户粒度权限模型，不要试图用它们实现“租户内全员可读”——应改用目录 umask 或挂载 bind mount 隔离 - 若用 NFS 或对象存储后端，
os.Stat可能返回缓存结果，需结合time.Now().Sub(fi.ModTime()) 判断时效性，防止租户 A 刚删文件，租户 B 还能 stat 到旧信息 - 日志中记录文件操作时，必须打点
tenant_id字段，否则无法追溯越权行为来源
最易被忽略的是：文件锁（flock）、临时目录（os.TempDir()）、以及 os.Getwd() 返回值——这些 API 完全不感知租户，必须在入口 middleware 中用 chdir 切换到租户专属工作目录，或全部替换为基于 /data/tenant_xxx/ 的绝对路径构造逻辑。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
