http.fileserver 不能直接暴露调度目录，因为它仅提供静态文件服务，既无法过滤敏感文件（如 .env）、不校验路径遍历（如 ../../../etc/passwd），也不支持任务触发语义；真正需要的是监听子目录、安全解析 yaml 任务定义、白名单校验命令并用 goroutine+context 隔离执行。
为什么不能直接用 http.FileServer 暴露调度目录
直接 http.FileServer 会把整个目录树裸露出去，既无法过滤敏感文件（如 .env、config.yaml），也不校验路径遍历（../../../etc/passwd 仍可访问），更不支持任务触发语义——它只是静态文件服务，不是调度入口。你真正需要的是：对特定子目录的写入行为自动转化为任务提交，且只响应合法格式的描述文件（如 job-20240618.yaml）。
如何监听目录并安全提取任务定义
别监听单个文件，编辑器保存时会先写临时文件再 rename，fsnotify 对原路径不会触发 Write 事件。正确做法是监听父目录，再过滤文件名和后缀：
- 用
filepath.Dir("/var/run/jobs/")获取目录路径，调用watcher.Add() - 在事件循环中检查
event.Name是否匹配^job-.*\.yaml$正则，且event.Op & fsnotify.Create != 0 - 收到事件后，
time.Sleep(5 * time.Millisecond)再os.Stat()确认文件已就绪（避免读到半写状态） - 用
filepath.Clean()归一化路径，再用strings.HasPrefix(cleaned, allowedRoot)校验是否越界（allowedRoot必须以/结尾）
怎么解析 YAML 并防止执行危险命令
YAML 本身不安全，yaml.Unmarshal 可能触发任意代码（如通过 !!python/object/apply）。必须禁用所有非标 tag：
- 使用
yaml.UnmarshalStrict（Go 1.22+）或第三方库如gopkg.in/yaml.v3的UnmarshalWithOptions+yaml.DisallowUnknownFields() - 任务字段只允许
name、command、timeout、depends_on，其余字段一律拒绝 -
command字段值必须匹配白名单正则（如^[a-zA-Z0-9_./-]+(\s+[^\n]+)?$），禁止;、&&、|、`、$() - 执行前调用
exec.Command("sh", "-c", "echo 'test'")验证 shell 环境可用性，避免因容器缺失/bin/sh导致静默失败
任务执行时如何避免阻塞调度主循环
每个任务必须在独立 goroutine 中运行，并绑定 context 控制生命周期，否则一个卡死的 sleep 3600 会让整个引擎不可用：
- 为每个任务生成唯一
ctx, cancel := context.WithTimeout(context.Background(), timeout) - 用
errgroup.Group包裹exec.CommandContext(ctx, ...).Run()，确保超时后子进程被 kill - 执行完后立即
cancel()，防止 context 泄漏 - 任务状态（
pending/running/done）存于内存 map，加sync.RWMutex保护，避免并发读写冲突
真正容易被忽略的是符号链接与挂载点边界：如果调度目录下存在指向 /root 的 symlink，filepath.Clean 不会解开它，os.Stat 却可能穿透。上线前务必在目标环境实测 ln -s /etc /var/run/jobs/etc-link 是否会被误加载。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
