批量重命名须校验路径合法性：用filepath.Clean并检查前缀，过滤非法字符；用filepath.WalkDir避免软链风险；每步用临时名实现原子重命名；跨盘符时改用copy+remove并补全元数据。
批量重命名前必须校验文件路径合法性
直接拼接新文件名并调用 os.Rename 极易因路径遍历、空格、特殊字符或相对路径误操作导致文件丢失。真实场景中，../evil.txt 这类名字不是假设——用户上传的原始文件名可能含恶意片段。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 对每个待处理的
oldName调用filepath.Clean并检查是否仍以目标目录为前缀（用strings.HasPrefix(cleaned, targetDir)） - 拒绝包含
..、\0、控制字符的文件名，可用utf8.ValidString+ 正则[\x00-\x08\x0b\x0c\x0e-\x1f]快速过滤 - 重命名前先用
os.Stat确认源文件存在且是普通文件，避免覆盖目录或符号链接
用 filepath.WalkDir 而非 filepath.Walk 避免隐式读取子目录
filepath.Walk 在遇到 symlink 时默认跟随，若用户目录下有循环软链或挂载点，可能卡死或遍历出意料之外的路径；而 filepath.WalkDir 提供 DirEntry，可精确控制是否进入子目录。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 传入自定义
fs.DirEntry的IsDir()结果判断是否跳过子目录（如只处理当前层） - 对每个
DirEntry调用entry.Type().IsRegular()排除非文件项 - 错误处理不 panic：返回
filepath.SkipDir跳过权限不足的子目录，而非中断整个流程
重命名需原子性保障：先 os.Rename 再校验，失败立即回滚
批量操作中，第 3 个文件重命名失败，前 2 个已改名，此时状态不一致。不能靠“全部成功才提交”的事务模型（文件系统不支持），而应单步原子+可逆。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 每步重命名前，生成唯一临时名（如
fmt.Sprintf("%s.%d.tmp", base, time.Now().UnixNano())），先os.Rename(old, tmp)，再os.Rename(tmp, new) - 若第二步失败，保留
.tmp文件并记录错误，后续可通过扫描残留.tmp文件做手动清理 - 避免用
os.Create+io.Copy模拟重命名——这会丢失权限、atime/mtime、xattrs，且慢一个数量级
Windows 下注意 os.Rename 跨盘符限制
在 Windows 上，os.Rename 若涉及不同驱动器（如 C:\ → D:\），会直接返回 rename ...: The system cannot move the file to a different disk drive 错误。Linux/macOS 无此限制。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 提前用
filepath.VolumeName比较源与目标路径的卷标，不一致时改用io.Copy+os.Remove组合（注意：需先 copy 再 remove，防止中间失败丢失原文件） - copy 后调用
os.Chmod(new, info.Mode())和os.Chtimes(new, info.ModTime(), info.ModTime())补全元数据 - 跨盘操作耗时显著增加，建议在日志中标记 “CROSS-VOLUME COPY” 提示用户等待
真正难的不是写 rename 循环，而是让每次 os.Rename 调用都明确知道它动的是哪个 inode、是否越权、失败后能否定位到哪一步断的——这些细节藏在 filepath.Clean 的返回值、DirEntry.Type() 的位掩码、以及 Windows 卷标比对里。
