生产环境禁用http.ServeFile下载文件，因其存在路径暴露、目录遍历、无法设Content-Disposition等风险；应使用http.ServeContent配合路径校验、安全目录检查、正确modtime和Content-Disposition设置实现安全可控的文件下载。
Go中用http.ServeFile直接下载文件有风险
它会暴露文件系统路径，且不支持自定义响应头（如Content-Disposition），还可能触发目录遍历漏洞。生产环境必须避免裸用。
- 若路径来自用户输入（如
/download?file=../etc/passwd），http.ServeFile不做校验就可能读取任意文件 - 无法设置
Content-Type为application/octet-stream，浏览器可能尝试渲染而非下载 - 不支持断点续传、大文件流式处理，容易OOM
推荐方式：用io.Copy + 自定义http.ResponseWriter
手动控制响应头和流式写入，兼顾安全与可控性。核心是设置Content-Disposition并禁用缓存。
func downloadHandler(w http.ResponseWriter, r *http.Request) {
filename := r.URL.Query().Get("file")
// 1. 白名单校验或路径净化（关键！）
if !isValidFilename(filename) {
http.Error(w, "Invalid file", http.StatusForbidden)
return
}
filepath := path.Join("/safe/download/dir", filename)
// 2. 检查文件是否存在且在允许目录内
if !isInSafeDir(filepath, "/safe/download/dir") {
http.Error(w, "Access denied", http.StatusForbidden)
return
}
// 3. 设置响应头
w.Header().Set("Content-Description", "File Transfer")
w.Header().Set("Content-Transfer-Encoding", "binary")
w.Header().Set("Content-Disposition", `attachment; filename="`+filename+`"`)
w.Header().Set("Content-Type", "application/octet-stream")
w.Header().Set("Expires", "0")
w.Header().Set("Cache-Control", "must-revalidate")
w.Header().Set("Pragma", "public")
// 4. 流式传输，避免内存堆积
file, err := os.Open(filepath)
if err != nil {
http.Error(w, "File not found", http.StatusNotFound)
return
}
defer file.Close()
http.ServeContent(w, r, filename, time.Now(), file)
}
http.ServeContent比io.Copy更稳妥
它自动处理If-Range、Range请求，支持断点续传，还带ETag和Last-Modified校验。直接用io.Copy会丢掉这些能力。
-
http.ServeContent第四个参数是modtime，务必传真实文件修改时间，否则协商缓存失效 - 第三个参数（
name）影响Content-Disposition生成逻辑，建议显式传原始文件名 - 底层仍调用
io.Copy，但封装了HTTP/1.1分块、状态码判断等细节
大文件或需权限控制时，别用os.Open直读
应结合http.Range解析和io.Seeker做偏移读取，否则1GB文件会阻塞goroutine并吃光内存。
- 用
file.Seek(offset, io.SeekStart)跳转到Range起始位置 - 用
io.LimitReader(file, length)限制读取字节数，防止超范围 - 权限检查必须在
Seek前完成，避免绕过校验 - 对敏感文件，考虑加临时token签名（如
/dl/{token}/{filename}），过期即失效
modtime传参——前者导致越权访问，后者让缓存永远不生效。 
