os.ReadFile适用于小到中等文本文件读取，需校验路径防遍历、显式转字符串、手动设置Content-Type与状态码，大文件应改用http.ServeFile或流式处理。
用 os.ReadFile 读取文件内容最简单
多数场景下，不需要流式处理或大文件支持，直接用 os.ReadFile 就够了。它返回 []byte 和错误，适合小到中等文本文件（比如配置、模板、静态 HTML）。
常见错误是忽略错误判断，或误把二进制内容当字符串直接打印——尤其遇到 UTF-8 BOM 或非 ASCII 字符时显示乱码。
- 确保文件路径正确，Web 服务中常用相对路径（如
"./static/index.html"），但实际运行目录取决于go run所在位置，不是源码目录 - 若需转字符串，显式用
string(data)，不要依赖 fmt 默认格式化（fmt.Printf("%v", data)会输出字节切片形式） - 对用户可控的路径（如 URL 参数拼接文件名），必须校验和清理，否则可能触发路径遍历漏洞（如
../../etc/passwd）
在 HTTP handler 中安全返回文件内容
Web 场景下，不能直接把 os.ReadFile 结果塞进 http.ResponseWriter 就完事。Content-Type、状态码、错误响应都要手动控制。
典型疏漏是：读取失败时没写状态码，导致前端收空响应；或未设置 Content-Type: text/html; charset=utf-8，浏览器用默认编码解析导致中文乱码。
立即学习“go语言免费学习笔记（深入）”；
- 先调用
os.ReadFile，出错时用http.Error(w, "file not found", http.StatusNotFound) - 成功后调用
w.Header().Set("Content-Type", "text/plain; charset=utf-8")（按实际类型调整，HTML 用text/html） - 用
w.Write(data)发送，别用fmt.Fprint—— 后者可能额外加换行或格式字符 - 避免在 handler 中使用
log.Fatal，它会 kill 整个 server
读取大文件或需要流式响应时用 http.ServeFile 或 io.Copy
os.ReadFile 把整个文件加载进内存，几 MB 就可能吃光服务内存。真实 Web 项目中，静态资源应尽量走 http.ServeFile 或 http.FileServer，由 Go 标准库底层做分块读取和 sendfile 优化。
手动流式读取只在需要中间处理（如加水印、过滤行）时才用，且必须配缓冲区。
-
http.ServeFile(w, r, "/path/to/file.txt")自动处理 404、304、Range 请求，但路径必须绝对且不暴露敏感目录 - 自定义流式读取：用
f, _ := os.Open(name)+defer f.Close()+io.Copy(w, f)，比自己写 for-loop 更可靠 - 若需修改内容再返回（如替换变量），用
bufio.Scanner行读取，避免一次性加载整文件
文件路径校验必须做，别信前端传来的任何路径参数
Web 接口若允许通过 URL 指定文件（如 /view?name=report.pdf），不校验路径等于开放服务器任意文件读取。
Go 没有内置“路径白名单”函数，得自己写逻辑。核心是：解析后的真实路径必须落在允许目录内，且不能含 .. 跳转。
- 用
filepath.Clean(path)归一化路径，再用strings.HasPrefix(cleaned, allowedRoot)判断是否在根目录下 - 检查 cleaned 是否包含
".."或开头为"/"（防止绝对路径绕过） - 更稳妥的做法是：只允许预定义文件名（如
map[string]string{"a": "a.md", "b": "b.log"}），完全避开路径拼接
这步漏掉，其他所有读取逻辑再严谨也没用。
