Go 无内置文件分发系统，需用 http.ServeContent 安全实现：校验路径（filepath.Clean + 前缀白名单）、用 os.Open 打开文件、显式设 Cache-Control/ETag/Last-Modified、禁用 Set-Cookie，并确保支持 Range 请求。
Go 本身不提供“文件分发系统”这个现成模块，所谓实现，本质是组合 HTTP 服务能力、路径安全控制、响应头策略和 CDN 协作逻辑。核心不在写多少 handler，而在避免踩坑：比如用 http.ServeFile 直接暴露目录导致路径遍历，或漏设 Cache-Control 让 CDN 完全失效。
如何用 http.ServeContent 安全分发静态文件
必须替换掉 http.ServeFile —— 它不处理协商缓存，也不校验路径安全性，且无法干预 Content-Type 和 ETag 生成逻辑。
- 用
filepath.Join(staticRoot, filepath.Clean(path))拼接路径，filepath.Clean能自动剥离../类攻击片段 - 打开文件必须用
os.Open（非os.ReadFile），否则http.ServeContent无法支持Range请求 - 手动调用
mime.TypeByExtension设置Content-Type，避免返回text/plain导致浏览器下载失败或 CDN 拒绝缓存 - 示例关键片段：
func serveFile(w http.ResponseWriter, r *http.Request) { path := strings.TrimPrefix(r.URL.Path, "/files/") cleanPath := filepath.Clean("/data/assets/" + path) if !strings.HasPrefix(cleanPath, "/data/assets/") { http.Error(w, "Forbidden", http.StatusForbidden) return } f, err := os.Open(cleanPath) if err != nil { http.Error(w, "Not Found", http.StatusNotFound) return } defer f.Close() fi, _ := f.Stat() http.ServeContent(w, r, fi.Name(), fi.ModTime(), f) }
为什么 CDN 总是回源，而不是命中缓存
CDN 不看 Go 代码写了啥，只认响应头。缺任意一个关键头，它就放弃缓存。
- 必须显式设置
Cache-Control: public, max-age=31536000（静态资源建议 1 年） - 必须让
http.ServeContent生成ETag和Last-Modified—— 它依赖os.File.Stat()的ModTime()和文件大小，所以不能用内存 reader 或加密流替代真实文件句柄 - 绝对禁止返回
Set-Cookie头，哪怕只在开发环境加了调试 cookie，CDN 也会跳过缓存 - 测试方法：
curl -I http://your.cdn.domain/file.jpg，检查是否含Cache-Control、ETag、Last-Modified，且无Set-Cookie
大文件分发时拖拽失败或无法播放
视频、音频、ZIP 下载类资源若不支持 Range，浏览器/播放器就无法跳转时间点或断点续传。
立即学习“go语言免费学习笔记（深入）”；
- 确认 handler 中没有提前
io.Copy或json.NewEncoder写响应体 —— 这会让http.ServeContent失去接管机会 - 用
curl -H "Range: bytes=0-1023" http://yourservice/file.mp4 -I测试，应返回206 Partial Content和Content-Range: bytes 0-1023/12345678 - 如果用了自定义 reader（如解密流），必须实现
io.ReadSeeker接口，否则http.ServeContent会退化为全量传输 - NGINX 回源时默认透传
Range头，但某些 CDN 需在控制台开启「透传 Range 请求」开关
链接型目录分发的风险与控制
直接读取管理员配置的本地路径（如 /mnt/nas/videos）虽免复制，但权限和路径映射极易失控。
- 服务进程必须对目标目录有读权限，且不能有执行权限（防止 CGI 类攻击）
- 配置项中禁止使用
os.Getwd()或相对路径，全部用绝对路径 + 显式白名单校验（例如只允许/mnt/nas/和/data/shared/开头） - 不要在 Go 中根据
r.Host做路径路由 —— CDN 域名和回源域名不同，Host 字段不可靠；应在 CDN 控制台或 NGINX 层做路径重写 - 上线前务必用 CDN 的「强制回源」模式抓包，确认实际发到 Go 服务的请求路径是否符合预期，避免因路径映射错误导致 404 或越权读取
最常被忽略的是：CDN 缓存行为完全由响应头驱动，而 Go 默认几乎不设这些头；链接型目录看似方便，但一旦路径校验漏掉 filepath.Clean 或没做前缀白名单，就是高危漏洞。别信“功能跑通就行”，得盯着 curl -I 的输出和 CDN 日志看真实回源率。
