Go防路径遍历需多层拦截：先URL解码，再filepath.Join拼接与Clean标准化，接着用strings.HasPrefix校验cleanRoot前缀（结尾带分隔符），并用os.Lstat防符号链接及TOCTOU竞态。
Go 里防路径遍历，不能靠 filepath.Clean 一招鲜——它只做标准化，不拦越界，也不防符号链接和竞态。真正有效的防御是分层拦截，每层堵一种攻击面。
必须先解码再 Clean，否则 %2e%2e 直接绕过
HTTP 请求里的路径可能被 URL 编码，r.URL.Path 已解码，但 r.URL.Query().Get("file") 没解码。不手动调用 url.PathUnescape，攻击者用 %2e%2e%2fetc%2fpasswd 就能跳过所有校验。
- 对 query 参数、表单字段等非
r.URL.Path的输入，必须显式调用url.PathUnescape（且仅一次） - 解码后立即传给
filepath.Join，不要拼字符串 - Windows 下注意
\和/混用问题，建议统一用filepath.ToSlash转换后再比对
clean 后必须做白名单前缀校验，且 cleanRoot 结尾带斜杠
filepath.Clean 把 "../../etc/passwd" 变成 "/etc/passwd"，但它不会告诉你这已经跑出授权目录。校验必须基于 clean 后的路径，且前缀要绝对、结尾带 /。
- 允许根目录是
"./uploads"？先算cleanRoot := filepath.Clean("./uploads")，再补上分隔符：cleanRoot + string(filepath.Separator) - 比较时用
strings.HasPrefix(cleanedPath, cleanRoot+string(filepath.Separator))或cleanedPath == cleanRoot - 别用
strings.Contains或模糊匹配，/var/www/upload会误匹配/var/www/uploaded - Go 1.20+ 的
filepath.IsLocal可作第一道轻量过滤，但不能替代白名单
os.Open 前必须防符号链接和 TOCTOU 竞态
检查完路径安全，打开前的瞬间，攻击者可能把目标替换成指向 /etc/shadow 的软链——这就是 TOCTOU（Time-of-Check to Time-of-Use）漏洞。
Alibabacloud Sdk Client Initialization For Golang
下载
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
立即学习“go语言免费学习笔记（深入）”；
- 用
os.Lstat先查info.Mode() & os.ModeSymlink != 0，若为真，直接拒绝 - 若业务必须支持符号链接，用
filepath.EvalSymlinks获取真实路径，再重新做一遍白名单校验 - 打开时优先用
os.OpenFile(path, os.O_RDONLY, 0)，Linux/macOS 可加os.O_NOFOLLOW阻止跟随 - 避免先
os.Stat再os.Open的分离调用，两者之间存在竞态窗口
Go 1.24 的 os.Root 是新防线，但不是银弹
os.Root 提供了一个受限的文件系统视图，类似 chroot，让后续所有路径操作都以它为根。但它不自动解决符号链接跳转或 Windows 设备名（如 CON、AUX）问题。
- 初始化时用
root, err := os.Root("/var/www/uploads")，之后所有Open、ReadDir都在该范围内 - 仍需在传入
os.Root前做过滤：拒绝含\x00、\（Windows）、设备名的原始输入 - 它不防
../在 root 内部的跳转，比如 root 是/a/b，用户输../c仍可能访问到/a/c—— 所以白名单校验不能省
最易被忽略的是：所有校验必须作用于 clean 后的路径，而不是原始输入；所有路径比较必须两端都 clean；所有打开操作必须和符号链接检查尽可能靠近——这些细节一旦错位，整套防护就形同虚设。
