filepath.Join是跨平台路径拼接唯一安全方式，自动适配系统分隔符；绝对路径参数会覆盖前面所有路径；空字符串和"."被忽略，".."不解析；需配合Clean、Abs和EvalSymlinks做安全校验。
filepath.Join 是跨平台路径拼接的唯一安全起点
硬编码 / 或 拼路径，在 Windows 上八成会触发 no such file or directory；用 + 或 fmt.Sprintf 也一样。真正安全的做法只有一种：filepath.Join。
它自动适配当前系统分隔符：Linux/macOS 输出 a/b/c，Windows 输出 a<c></c>（注意：底层系统调用其实也接受 /，但语义和可读性上必须用原生分隔符）。
-
filepath.Join("data", "logs", "app.log")→data/logs/app.log（Linux）或datalogspp.log（Windows） - 遇到任意参数是绝对路径（如
"/etc/config.yaml"或"C:\tmp"），会直接丢弃前面所有参数，返回该绝对路径 —— 这是设计行为，不是 bug - 不自动折叠
..：filepath.Join("a", "..", "b")得到a/../b，不是b；需后续调用filepath.Clean - 空字符串、
"."会被忽略；但".."不会，也不访问文件系统 —— 纯字符串逻辑，快且无副作用
filepath.Clean 不是万能修复器，敏感操作前必须加 filepath.Abs
filepath.Clean 只做字符串归一化：压缩重复分隔符、解析 . 和 ..、去掉末尾 /。它完全不检查路径是否存在，也不展开符号链接。
比如用户输入 "../../etc/passwd"，Clean 后仍是 ../../etc/passwd，os.Open 可能静默读到不该读的文件。
立即学习“go语言免费学习笔记（深入）”；
- 对用户输入或外部传入的路径，先
filepath.Clean，再filepath.Abs转为绝对路径 - 校验是否落在白名单根目录内：
strings.HasPrefix(abs, allowRoot) - 若需进一步防逃逸（如符号链接绕过），再追加
filepath.EvalSymlinks，但注意它要求路径真实存在，且 Windows 对 junction 支持有限 - 别在循环里反复调用
Join+Clean+Abs—— 基础路径提前算好复用更高效
别用 path.Dir 处理本地文件路径，一律换成 filepath.Dir
path.Dir 是为 URL 或 ZIP 内部路径设计的，永远只认 /。在 Windows 上处理 "C:Usersme ile.txt" 时，它把整个字符串当一个文件名，返回 "."，而不是预期的 "C:Usersme"。
filepath.Dir 才是操作系统感知的版本，会根据 GOOS 自动识别分隔符。
-
filepath.Dir("a/b/c")→"a/b" -
filepath.Dir("C:\foo\bar.exe")→"C:\foo" -
filepath.Dir("singlefile")→"."（不是空字符串！后续Join可能引入意外相对路径） -
filepath.Base("log/")返回空字符串""，不是"log"；提取文件名前务必先Clean
桌面、配置、临时目录等特殊路径必须用平台感知方案
硬编码 "./Desktop"、"~/Desktop" 或 "%USERPROFILE%\Desktop" 都会失败：工作目录变化、沙盒限制、UAC/SELinux 权限、macOS App Bundle 结构都会让这些路径失效。
正确做法是委托给标准或规范库：
- 临时目录：
os.TempDir()—— Go 标准库已按GOOS返回正确路径 - 用户主目录：
os.UserHomeDir()—— 替代~展开，跨平台稳定 - 桌面、文档、配置等特殊目录：
github.com/adrg/xdg（首选）—— 严格遵循 XDG 规范，并兼容 Windows/macOS - 不要自己写
ReplaceTildeWithHome，除非你确定要支持~username且愿意维护多平台逻辑
