Go路径安全需三步：规范化（filepath.Clean）、白名单校验（strings.HasPrefix）、最小权限打开（os.O_NOFOLLOW）；单独正则或Ext检查会遗漏遍历、空字节、竞态等风险。
Go 中无法仅靠字符串规则 100% 判定路径“合法”，必须结合规范化 + 白名单 + 最小权限打开三步走；单独用正则或 filepath.Ext 都会漏掉路径遍历、空字节、竞态等关键风险。
filepath.Clean 不等于安全，只是标准化第一步
filepath.Clean 会把 "../../etc/passwd" 变成 "/etc/passwd"，但它不拒绝、不报错、也不检查是否越界。它只做一件事：消除 .、..、重复分隔符，返回语义最简的等效路径。
- 必须在
filepath.Clean后立刻用strings.HasPrefix(cleaned, allowedRoot)做白名单校验，否则 Clean 反而帮攻击者“理顺”了恶意路径 - Windows 下
filepath.Clean("C:\temp\..\user")返回"C:\user"，大小写保持原样，比对时建议统一转小写或用filepath.VolumeName提取盘符再判断 - 如果原始输入含
filepath.Clean不处理，后续os.Open可能静默截断——得在 Clean 前就用bytes.IndexByte([]byte(input), 0) != -1拒绝
用 filepath.Rel 反向验证路径是否越界
比起手动拼前缀，filepath.Rel 是更可靠的越界检测手段：它计算从白名单根目录到目标路径的相对路径，若结果含 ".." 或直接报错，说明目标不在允许范围内。
-
rel, err := filepath.Rel("/var/www", "/var/www/uploads/../../etc/shadow")→err == nil且rel == "../etc/shadow"，此时应明确拒绝 -
filepath.Rel在 Windows 下跨盘符（如从C:到D:）会返回 error，Unix 下跨根目录（/a到/b）同样报错，这正是你想要的防御信号 - 注意：调用前先确保两个路径都是绝对路径，可用
filepath.Abs转换，但Abs可能触发 IO（如解析符号链接），生产环境建议只对已知安全的根目录调用
os.Stat 不是校验环节，而是竞态窗口的起点
os.Stat 只确认“此刻存在、是文件还是目录、权限如何”，它不防 TOCTOU（Time-of-check to time-of-use）竞态：Stat 返回 OK 后，文件可能被替换成 symlink，导致后续 os.Open 访问到不该访问的位置。
立即学习“go语言免费学习笔记（深入）”；
- 永远不要用
os.Stat的结果决定是否允许访问——它只能辅助记录或限流，不能替代白名单 - 真正打开文件时，必须用
os.OpenFile(path, os.O_RDONLY|os.O_NOFOLLOW, 0)，其中os.O_NOFOLLOW是关键：它让 open 在遇到 symlink 时直接失败，堵住最常见绕过方式 -
os.IsNotExist(err)和os.IsPermission(err)要分开处理，前者可返回通用提示（如“文件不存在”），后者绝不暴露真实路径或权限细节
扩展名检查（如 .vm）必须剥离换行与空白
filepath.Ext("script.vm
") 返回空字符串，因为
不是合法路径字符，Ext 遇到非法字符立即截断。这不是 bug，是设计使然——它只解析路径字符串，不清理输入。
- 用户输入后必须先
strings.TrimSpace，再filepath.Ext，否则所有带换行或空格的输入都会误判 -
filepath.Ext对"archive.tar.gz"返回".gz"，若业务要求“必须是 .vm”，得用strings.HasSuffix(strings.ToLower(path), ".vm")更可靠 - 扩展名合法 ≠ 文件存在，也 ≠ 是普通文件——仍需
os.Stat+os.FileInfo.IsRegular()确认，且该确认和后续打开之间仍有竞态，所以最终依赖的仍是os.O_NOFOLLOW和最小权限
真正难的不是写对某一行代码，而是意识到：路径合法性不是单点校验，而是一条链——从接收输入、清理、白名单比对、反向验证、到最终以受限 flag 打开，任一环松动都可能被绕过。尤其是 os.O_NOFOLLOW 这个 flag，很多人在文档里忽略它，但它才是堵住 symlink 攻击的最后一道门。
