os.Rename能实现原子更新是因为其在同文件系统上本质是修改目录项inode指针，由内核保证单一不可中断；跨文件系统则退化为拷贝+删除而失去原子性，且必须配合f.Sync()确保落盘、临时文件与目标同目录、使用os.CreateTemp避免竞态。
os.Rename 为什么能实现原子更新
因为 os.Rename 在绝大多数本地文件系统（ext4、XFS、APFS、NTFS）上，本质是修改目录项的 inode 指针——这个动作由内核保证为单一、不可中断的元数据操作。只要临时文件和目标路径在同一个文件系统（即同目录），重命名就「要么成功替换整个文件，要么完全失败」，中间不会出现半新半旧的状态。
注意：这不是 Go 语言的魔法，而是操作系统提供的语义。跨文件系统（比如 /tmp 写临时文件、目标在 /home）时，os.Rename 会退化为拷贝+删除，彻底失去原子性。
写临时文件必须调用 f.Sync()
只写完内容再 f.Close() 是不够的。Linux/Unix 下 close() 不保证数据已落盘，仅表示文件描述符释放；Windows 上更不保证元数据（如 mtime、权限）已刷入磁盘。如果跳过 f.Sync() 就直接 os.Rename，可能 rename 成功了，但读出来仍是旧内容（缓存未刷新）或权限/时间戳错乱。
-
f.Sync()强制把文件内容 + 元数据都刷到持久存储 - 不要用
os.WriteFile替代：它内部不调Sync()，也不暴露文件句柄，无法控制落盘时机 - 小文件且非关键场景可权衡省略，但配置文件、数据库快照等必须保留
并发写同一目标时临时文件名必须唯一
多个 goroutine 同时调用原子写函数，若共用固定名（如 "config.json.tmp"），后启动的会覆盖先写一半的临时文件——最终 os.Rename 的可能是 B 的空文件或 A 的半截内容。
立即学习“go语言免费学习笔记（深入）”；
- 用
os.CreateTemp(dir, pattern)，pattern 建议含".tmp.*"，让系统生成随机后缀 - 避免手拼时间戳或 PID：在高并发或容器环境下仍可能冲突
- 临时文件必须和目标路径同目录（
filepath.Dir(dst)），否则os.Rename失去原子保障
Windows 下 rename 失败要 fallback 到 MoveFileEx
Windows 对正在被打开读取的文件加共享锁，此时 os.Rename 直接返回 ERROR_ACCESS_DENIED，不是 bug，是设计如此。标准库没自动处理这个 case。
- 捕获错误：
if errors.Is(err, syscall.ERROR_ACCESS_DENIED) - fallback 调用
syscall.MoveFileEx(tmp, dst, syscall.MOVEFILE_REPLACE_EXISTING|syscall.MOVEFILE_WRITE_THROUGH) - 不要删旧文件再写新文件：删成功但写失败 → 文件彻底丢失
- Linux/macOS 不需要这步，但统一封装时建议按平台分支处理
真正难的不是写对一行 os.Rename，而是确保临时文件路径、权限继承、错误清理、跨平台行为全部闭环。尤其当目标文件正被其他进程 mmap 或长期 open(O_RDONLY) 时，Windows 的限制会立刻暴露——这点常被本地测试忽略。
