不能直接用在抽象层里，因为os.chmod仅修改文件mode位、无业务语义、跨平台行为不一致，且无法表达“用户a能否写入路径”等权限意图；权限校验必须放在接口定义层，强制所有方法（如writefile）传入user参数并统一返回errpermissiondenied。
os.Chmod 能不能直接用在抽象层里
不能。os.Chmod 是底层系统调用封装，它只改单个文件的 mode 位，不带语义、不校验上下文、跨平台行为不一致（Windows 仅响应 0444/0666），更无法表达「用户 A 是否能对路径 /x/y 写入」这类业务意图。把它塞进 FileStore 接口的 WriteFile 方法里，等于把权限逻辑和存储实现耦合死——改策略就得翻所有 WriteFile 实现。
权限校验该放在哪一层：接口定义还是实现体
必须放在接口定义层，且强制传入 user 参数。错误做法是让 WriteFile(ctx, path, data, perm) 自己去查数据库或 JWT 声明；正确做法是定义 WriteFile(ctx context.Context, path string, data []byte, perm fs.FileMode, user User) error，把「谁在操作」变成不可省略的输入项。
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
-
user类型需自定义（如type User struct{ ID string; Roles []string }），避免用 string 或 int 隐式传递身份 - 所有方法（
ReadFile、Delete、Stat）都必须带user，否则漏一处就绕过整个权限链 - 错误统一返回
ErrPermissionDenied，而不是os.ErrPermission或云 SDK 的具体 error
路径策略匹配怎么避免被 ../ 绕过
靠字符串判断 ".." 不够，必须结合 filepath.Clean 和前缀校验。例如允许访问 ./uploads 目录，但用户请求 /../../etc/passwd 时，path.Clean 会先转成 /etc/passwd，再用 strings.HasPrefix(fullPath, cleanRoot) 拦截。
-
filepath.Clean必须在拼接前调用，否则../../../可能绕过后续检查 - 拼接后必须用
strings.HasPrefix(fullPath, filepath.Clean(root)+string(filepath.Separator))，而非简单strings.Contains - 若支持用户隔离（如
/u123/report.pdf），需在 root 后插入用户 ID，并验证该子目录归属当前user.ID
SecureFS 代理如何避免绕过权限检查
关键在入口唯一性：所有读写删操作必须经过 SecureFS，禁止业务代码直调 afero.Fs 或 os。常见破绽是 SecureFS.WriteFile 里手动调 os.Stat 判断路径是否存在——这跳过了 Authorizer 校验，也破坏了路径标准化流程。
-
SecureFS构造时注入Authorizer func(user User, op Op, path string) bool，所有操作前先跑它 -
Authorizer应基于层级策略（如[]Rule{{"/uploads", ReadWrite}, {"/uploads/admin", AdminOnly}}），从目标路径逐级向上filepath.Dir查找最近匹配规则 - 真实 IO 委托给底层
afero.Fs，SecureFS不实现任何文件操作，只做守门人
"/uploads/temp" 只读规则，必须确保所有 ReadFile、WriteFile、Delete 调用都同步走新规则——这依赖接口定义的刚性约束，而不是靠文档提醒或 code review。golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
