filepath.clean不能直接防御路径穿越，它仅规整路径语法（如合并./、../、重复斜杠），不校验越界、不拒绝相对路径、不处理符号链接，必须配合绝对路径转换、白名单前缀校验或filepath.rel语义比对及os.lstat二次检查才能实现安全防护。
filepath.Clean 不能直接防御路径穿越
filepath.Clean 的作用是规整路径语法（比如合并 ./、../、重复斜杠），但它**不会校验路径是否越界**。它只是把 "../../etc/passwd" 变成 "/etc/passwd"，而这个结果依然危险——你本意可能是限制在 /var/www/uploads 下，但规整后已跳出根目录。
常见错误是以为调用 filepath.Clean 就安全了，结果用户传 "../../../.env"，你拼上基目录后读到了敏感文件。
- 它不关心上下文：不知道你打算以哪个目录为“根”来限制访问
- 它不拒绝相对路径：返回值仍可能是以
..开头或含上级跳转的绝对路径（在 Unix 下会变成以/开头） - Windows 和 Unix 行为不一致：
filepath.Clean("C:\..\windows\system.ini")返回"C:\windows\system.ini"，但若你基目录是C:\app\data，就失效了
必须配合基目录做前缀校验
真正安全的做法是：先用 filepath.Clean 规整，再检查结果是否仍在预期基目录之下。关键不是“清理”，而是“确认没逃出去”。
示例逻辑：
base := "/var/www/uploads"
userPath := "../../etc/passwd"
cleaned := filepath.Clean(userPath) // → "/etc/passwd"
absPath := filepath.Join(base, cleaned) // → "/var/www/uploads/../../etc/passwd" → "/etc/passwd"
// ✅ 正确做法：检查 cleaned 是否以 base 的绝对路径开头
absBase, _ := filepath.Abs(base) // → "/var/www/uploads"
absCleaned, _ := filepath.Abs(cleaned) // → "/etc/passwd"
if !strings.HasPrefix(absCleaned, absBase+string(filepath.Separator)) && absCleaned != absBase {
return errors.New("path traversal detected")
}
- 注意：要用
filepath.Abs统一转绝对路径再比较，否则相对路径和绝对路径无法直接比前缀 - 边界情况要覆盖：
cleaned == absBase是合法的（访问根上传目录本身） - Windows 下
filepath.Separator是'\'，所以拼接时别硬写"/"
更稳妥：用 filepath.Rel + 显式拒绝越界
比起字符串前缀匹配，filepath.Rel 能更语义化地判断“是否在子树内”。它尝试计算从基目录到目标路径的相对路径，如果失败（返回 error），说明目标不在基目录下。
实操建议：
base := "/var/www/uploads"
cleaned := filepath.Clean(userPath)
// 尝试算出从 base 到 cleaned 的相对路径
rel, err := filepath.Rel(base, cleaned)
if err != nil || strings.HasPrefix(rel, ".."+string(filepath.Separator)) || rel == ".." {
return errors.New("outside allowed directory")
}
-
filepath.Rel在目标路径不在 base 子树时返回 error（例如base="/a",cleaned="/b"） - 即使成功，也要检查返回的
rel是否以".."开头——因为filepath.Rel("/a/b", "/a/c/../d")可能返回"../../d"，说明它其实逃出了 - 该方法自动处理不同系统的路径分隔符，比手写字符串匹配更健壮
别忽略 os.Stat 和 Open 前的二次校验
即使路径通过了前缀或 Rel 校验，仍需在实际打开前用 os.Stat 检查目标是否存在且类型正确。攻击者可能利用符号链接绕过静态路径检查。
- 例如：用户上传一个指向
/etc/shadow的软链，你的路径校验认为它在/var/www/uploads/xxx下，但os.Open会真实读取目标 - 解决方案：用
os.Lstat检查是否为符号链接；若允许链接，再用filepath.EvalSymlinks获取真实路径，并对真实路径再次做前述校验 - 不要省略
os.IsNotExist等错误处理——返回泛泛的 500 会暴露路径结构
路径穿越不是单点问题，filepath.Clean 只是第一步。漏掉基目录比对、忽略符号链接、或者没统一用绝对路径比较，任何一个环节松动，过滤就形同虚设。
