直接用 http.fileserver 暴露目录易致路径遍历或 404，因 http.dir 不校验路径、允许 ../ 绕过，且相对路径行为不稳定；必须用 os.dirfs 或 filepath.abs 构造绝对路径，配合严格匹配的 http.stripprefix，并为 spa 实现 index.html fallback。
直接用 http.FileServer 配静态资源，不加约束大概率出安全问题或 404；核心不是选框架，而是路径映射是否对齐、是否防遍历、是否适配前端需求。
为什么 http.FileServer 直接暴露目录会出事
它不做路径规范化校验，http.Dir("./static") 在不同工作目录下行为不一致，且默认允许 ../ 路径解码绕过——比如请求 /..%2f/etc/passwd 可能读到系统文件。Go 官方文档明确警告这是路径遍历漏洞，不是理论风险。
-
http.Dir只做基础映射，不拦截恶意编码路径；os.DirFS（Go 1.16+）才自动拒绝..跳转 - 绝对路径必须显式构造：
filepath.Abs("./static")或filepath.Join(os.Getenv("PWD"), "static")，不能靠相对路径硬写 - Linux 下若目标目录权限不足（如 SELinux 限制），错误常表现为 404 或 500，不提示具体路径无权访问
StripPrefix 和路由前缀必须严格一致
注册 http.Handle("/static/", ...) 时，http.StripPrefix 的第一个参数必须是 "/static/"（尾部斜杠不能少），否则请求 /static/js/app.js 会被传给 http.FileServer 做 js/app.js 查找，而实际文件在 ./static/js/app.js —— 少个斜杠就变成查 ./static/static/js/app.js。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- HTML 中所有
src/href必须以/static/开头，和注册的前缀完全匹配 - 如果用
gorilla/mux，要用router.PathPrefix("/static/").Handler(...)，不是HandleFunc - 别把
http.Dir指向"../assets"这类含..的路径，filepath.Clean后可能跳出根目录
SPA fallback 不能只靠 FileServer
http.FileServer 不会自动 fallback 到 index.html，Vue/React 刷新 /user/123 时后端必须返回 index.html，否则白屏。这不是配置问题，是逻辑缺失。
- 先检查请求路径对应文件是否存在：
os.Stat(filepath.Join(staticRoot, r.URL.Path)) - 不存在且路径不含
.（排除 .js/.css 等），再返回index.html - 别用
http.ServeFile做 fallback——它不校验 MIME、不设缓存头、大文件易 OOM - 更稳妥的做法：用
http.FS包装embed.FS，再配合自定义 handler 判断文件存在性
embed.FS 编译进二进制更安全但有硬约束
Go 1.16+ 的 embed 彻底规避部署路径错位和权限问题，适合中小型应用，但路径声明和使用规则很死板。
-
//go:embed注释里的路径是相对于当前.go文件的，不是运行时工作目录 -
embed.FS不支持通配符递归（如static/**/*），必须显式写static/css/*.css或分层嵌入 - 必须用
http.FS包装才能传给http.FileServer，直接传embed.FS会编译报错 - 构建时没生成的文件不会被嵌入，CI/CD 流程里要确保
static/目录已存在且内容完整
最易被忽略的是：http.FileServer 默认不设 Cache-Control，也不压缩，JS/CSS 全量传输；而自己手写压缩中间件极易出 Vary 头或 ETag 错乱——生产环境优先走 Nginx/Gzip 预压缩，或用 github.com/gorilla/handlers.CompressHandler 这类久经考验的方案。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
