应禁用路径遍历、限制静态文件访问前缀、返回404而非403、构建时清除敏感文件（如.git、.map）、优先使用gin.dir和go:embed。
为什么静态文件路由会被恶意扫描
攻击者常通过遍历常见路径（如 /favicon.ico、/robots.txt、/static/js/app.js）探测目录结构，进而寻找未授权暴露的敏感文件（如 /static/config.json、/public/.git/config）。Gin 默认的 StaticFS 或 StaticFile 不做路径白名单限制，只要文件存在且可读，就会返回 200 —— 这等于主动配合目录枚举。
禁用自动索引并限制可访问路径前缀
Gin 的 StaticFS 默认不提供目录列表，但若搭配错误配置（如用 http.FileServer 直接暴露整个 os.DirFS），就可能触发隐式索引。必须显式约束根路径，并拒绝向上跳转。
- 永远不要写
r.StaticFS("/static", http.Dir("./assets"))——http.Dir允许../路径穿越 - 改用
gin.Dir（Gin v1.9+ 内置安全封装）：r.StaticFS("/static", gin.Dir("./static", true))，第二个参数true表示禁止路径遍历 - 若需更细粒度控制（例如只允许
/static/css/和/static/img/），应拆分为多个StaticFS注册，避免通配
拦截非法路径请求并返回 404 而非 403
返回 403 会暴露“该路径存在但无权限”，反而帮攻击者确认路径有效性；返回 404 才符合“最小信息泄露”原则。需在静态路由前加中间件做预检。
- 检查请求路径是否匹配预期前缀：
if !strings.HasPrefix(c.Request.URL.Path, "/static/") - 对非白名单后缀（如
.env、.git、.log、.yml）直接c.AbortWithStatus(404) - 避免用正则全量匹配路径，性能差且易绕过；优先用
strings.HasSuffix判断扩展名 - 示例逻辑：
if strings.HasSuffix(c.Request.URL.Path, ".git/config") || strings.Contains(c.Request.URL.Path, "/.git/") { c.AbortWithStatus(404); return }
移除敏感文件并压缩构建产物
防御不能只靠运行时拦截。构建阶段就该清除风险源，否则哪怕路由拦住了，源码或配置仍可能被意外挂载或误提交。
- 构建脚本中加入清理步骤：
find ./static -name "*.map" -delete（删除 sourcemap）、find ./static -name "config.*" -delete - 使用
go:embed替代运行时读取文件系统，彻底规避路径解析风险（适用于小体积静态资源） - CI/CD 流程中增加扫描：用
git secrets拦截硬编码密钥，用truffleHog检查历史提交是否泄露.env类文件
最易被忽略的是 .git 目录残留和 sourcemap 文件 —— 它们不会被路由规则拦住，但能直接反推出前端源码结构和变量名，为后续 XSS 或逻辑漏洞利用铺路。
