Path.startsWith 不可靠，因其仅做字符串前缀匹配，未处理路径规范化、符号链接、大小写及相对路径（如../）等问题；正确做法是先normalize再startsWith，或用relativize判断是否越界。
Path.startsWith 不能直接用于判定文件路径是否属于某个根路径范围，因为它的行为依赖于字符串比较，而非路径语义。它只检查路径字符串是否以指定前缀开头，不处理符号链接、相对路径、路径规范化（如 .. 或 .）等关键问题，容易误判。
为什么 Path.startsWith 不可靠
Java 的 Path.startsWith 是基于字符串前缀匹配的，不是路径包含关系判断：
- 若路径含
../（如Paths.get("a/../b")），其字符串形式是"a/../b"，但实际解析后可能指向根路径外的位置； - 未标准化的路径（如
"dir//sub/."）与目标根路径（如"dir"）字符串上不匹配，即使语义上属于其下； - 大小写敏感性在某些文件系统（如 Windows）中会导致误判；
- 符号链接路径在字符串层面可能完全不包含根路径字符串，但实际解析后位于其内。
正确做法：用 resolve + startsWith（标准化后）
先将待判断路径相对于根路径解析并归一化，再用 startsWith 判断是否仍在根内：
- 调用
root.resolve(candidate).normalize()得到规范绝对路径； - 再调用
normalizedPath.startsWith(root)； - 必须确保
root本身也是规范化的绝对路径（推荐用Paths.get("/opt/app").toAbsolutePath().normalize()）。
示例：
Path root = Paths.get("/opt/app").toAbsolutePath().normalize();Path candidate = Paths.get("../etc/passwd");
Path resolved = root.resolve(candidate).normalize();
boolean inScope = resolved.startsWith(root); // false —— 安全拦截
更健壮的替代方案：使用 isWithin（基于 relativize）
利用 relativize：若 root.relativize(candidate) 不以 ".." 开头，则说明 candidate 在 root 内部或等于它：
- 先将
candidate转为绝对路径（candidate.toAbsolutePath().normalize()）； - 计算
root.relativize(candidateNormalized)； - 检查结果是否为空路径，或其首段不为
".."（可用getName(0).toString().equals("..")判断）。
该方法天然规避了字符串前缀陷阱，符合文件系统语义。
生产环境建议：封装成工具方法并处理边界
实际使用时应统一封装，并覆盖常见边界：
- 空路径、null 输入需提前校验；
- 考虑是否允许
root.equals(candidate)（即根目录自身是否算“范围内”）； - Windows 下注意盘符一致性（
C:\vsD:\），避免跨盘符误判； - 如需高安全性（如服务端路径白名单），建议配合
Files.exists和Files.isReadable进行二次验证。
