Go文件操作本身不健壮，必须手动补全错误检查、路径安全、权限控制和资源释放；os.Open仅基础打开，不校验路径合法性或符号链接，易因空格、相对路径、权限不足等在生产环境出错。
Go 的文件操作本身不健壮，健壮性必须靠你手动补全：错误检查、路径安全、权限控制、资源释放缺一不可。
os.Open 为什么总在生产环境出错？
直接用 os.Open 读文件，看似简单，但一旦路径含空格、符号链接、相对路径或权限不足，就会 panic 或静默失败。它只做最基础的打开动作，不校验路径合法性，也不处理符号链接循环。
- 永远用
filepath.Clean规范输入路径，避免../越界访问（如用户上传的filename=../../etc/passwd） - 用
os.Stat预检：确认是普通文件（fi.Mode().IsRegular()），且非符号链接（!fi.Mode()&os.ModeSymlink != 0） - 打开后立即 defer
file.Close()，但注意：如果os.Open失败，file是 nil，Close()会 panic —— 必须加判空
读大文件时 ioutil.ReadFile 会 OOM 吗？
会。ioutil.ReadFile（Go 1.16+ 已移至 os.ReadFile）把整个文件加载进内存，对几百 MB 以上的日志或上传文件极危险。
- 替代方案：用
os.Open+bufio.Scanner按行读，或io.Copy流式处理 - 注意
bufio.Scanner默认限制 64KB 行长，超长会报scanner: token too long，需用ScanLines+ 手动Read控制 - 若需解析结构化内容（如 JSON 行），优先用
json.Decoder直接解码file，不走中间[]byte
写文件如何保证原子性与崩溃安全？
直接 os.Create 写目标路径，进程崩溃或断电会导致文件损坏或残留脏数据。
立即学习“go语言免费学习笔记（深入）”；
- 标准做法：写入临时文件（
os.CreateTemp），写完调os.Rename原子替换 —— Unix/Linux/macOS 下可靠，Windows 需确保同磁盘 - 务必检查
Rename返回错误：syscall.EXDEV表示跨设备，此时需 fallback 到 copy + remove - 写前用
os.Chmod(tmpFile, 0600)设权限，避免临时文件被其他用户读取
os.RemoveAll 删除目录有哪些隐藏陷阱？
它不区分软链和真实目录，也不提示正在删除的是挂载点或设备节点，误删风险极高。
- 先
os.Lstat检查是否为目录（fi.IsDir()），拒绝删除符号链接目标 - 对每个子项递归检查：跳过
/proc、/sys等虚拟文件系统（fi.Sys() != nil && fi.Sys().(*syscall.Stat_t).Dev == 0） - 生产模块中，建议默认禁用递归删除，改为显式传入
allowRecursive: true参数并记录审计日志
文件操作的“健壮”不在函数封装多漂亮，而在每一步都预设了它会失败——路径可能非法、磁盘可能满、用户可能没权限、系统调用可能被信号中断。这些不是边缘情况，而是常态。
