直接用os.open读取敏感文件危险，因它不校验路径越界、不检查权限，攻击者可通过../../../etc/shadow或符号链接绕过限制；必须先evalsymlinks解析、clean归一化、白名单校验，再stat检查权限（如0600），且读取时限制字节数。
为什么直接用 os.Open 读取敏感文件是危险的
因为 os.Open 不校验路径是否越界，也不检查文件权限位是否符合最小权限原则。攻击者可能通过构造 ../../../etc/shadow 这类路径绕过业务层限制，或者利用符号链接跳转到非预期位置。更关键的是，一旦模块被其他项目依赖，调用方可能传入任意路径，而你封装的函数若没做归一化和白名单校验，就等于把系统门钥匙交了出去。
- 必须先用
filepath.EvalSymlinks解析符号链接，再用filepath.Clean归一化路径，最后比对是否在允许根目录内 - 打开前要调用
os.Stat检查文件权限：至少得是0600（即仅属主可读写），否则拒绝打开 - 避免使用
os.OpenFile的os.O_CREATE标志——敏感文件不该由你的模块创建
如何用 filepath.Join 和白名单控制合法路径范围
硬编码允许路径前缀（比如 /etc/myapp/）不如用白名单目录列表 + filepath.Join 拼接更安全。拼接后立即做路径合法性校验，而不是靠字符串前缀匹配——后者会被 %00 或 Unicode 归一化绕过。
- 白名单只存绝对路径，如
"/etc/myapp/secrets"、"/var/lib/myapp/config" - 拼接时用
filepath.Join(allowedRoot, filename)，而非allowedRoot + "/" + filename，防止filename含../ - 校验时用
strings.HasPrefix(absPath, allowedRoot)前提是absPath已经过filepath.Clean和filepath.EvalSymlinks
io.ReadFull 和 io.ReadAll 在读取敏感内容时的区别
读取密钥或证书这类小文件，优先用 io.ReadFull 配合预分配切片；大文件则用流式处理。但无论哪种，都必须限制最大读取字节数——否则恶意构造超大文件可能导致 OOM。
- 对已知长度的密钥文件（如 32 字节 AES key），用
io.ReadFull(file, buf)，失败即报错，不接受部分读取 - 对不确定长度但需完整加载的配置文件，用
io.ReadAll，但必须包裹在http.MaxBytesReader类似逻辑里，例如：io.LimitReader(file, 1024*1024) - 永远不要用
bufio.Scanner读敏感内容——它的默认缓冲区无上限，且换行符可被操控触发内存暴涨
为什么 syscall.Openat 在某些场景下比 os.Open 更可控
当模块需要访问固定挂载点下的多个敏感文件（如容器中挂载的 /run/secrets/），用 syscall.Openat 可以把目录 fd 作为“沙盒句柄”传入，所有后续打开都基于该 fd，天然隔离路径遍历风险。
- 先用
syscall.Open("/run/secrets", syscall.O_RDONLY|syscall.O_DIRECTORY, 0)获取目录 fd - 后续每个文件用
syscall.Openat(dirfd, "db_password", syscall.O_RDONLY, 0)打开，路径始终相对于该目录 - 注意：此 API 是 Linux 特有，跨平台需 fallback 到普通
os.Open+ 严格路径校验
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
