os.Chmod不能单独修改组权限，必须传入完整八进制模式（如0644）；正确做法是先用os.Stat读取当前权限，再通过位运算调整（如curr|0020加组写），且须注意Windows仅支持只读/可写两级模拟。
os.Chmod 不能只改组权限，必须传完整模式
Go 没有类似 chmod g+w 的增量修改接口。os.Chmod 总是覆盖全部三组（user/group/other）的权限位，传 0020 不会“只加组写”，而是把整个权限设成八进制 20（十进制 16），结果文件几乎不可读不可写。
正确做法是先读当前权限，再用位运算调整：
- 给组加写：
curr | 0020 - 去掉组写：
curr &^ 0020 - 务必用
os.Stat读取原始fi.Mode().Perm()，别硬写固定值 - 注意执行位：原权限是
0755，直接写0644会清掉所有x位
os.Chown 在 Windows 上会 panic，跨平台必须 guard
os.Chown 在 Windows 完全不可用，调用即 panic；Linux/macOS 上也受严格限制：改 owner 需 root 或文件当前 owner，改 group 需 owner 或 root。Docker 容器里非 root 用户基本失败。
安全写法是运行前检查系统：
立即学习“go语言免费学习笔记（深入）”；
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 用
runtime.GOOS != "windows"包裹调用 - UID/GID 必须真实存在于系统（如 macOS 要在
/etc/passwd里存在），填不存在的数字会静默失败 - 容器环境优先考虑 user namespace remapping，而非硬调
Chown - 错误处理别
log.Fatal，用log.Printf记录后继续
创建文件时就该定死权限，别依赖 umask
os.Create 默认用 0666，但最终权限 = 0666 &^ umask。生产环境 umask 常为 0022 或 0002，结果不可控。
敏感文件必须一步到位：
- 密钥/令牌：
os.WriteFile("key.pem", data, 0600) - 日志文件：
os.OpenFile("app.log", os.O_CREATE|os.O_APPEND, 0644) - 目录创建：
os.Mkdir("cfg", 0700)，注意0700不是700（后者是十进制） - 递归建目录用
os.MkdirAll，但只有最后一级按传入 perm 创建
Windows 权限只是只读/可写两级模拟
Windows 不认 POSIX 权限模型。os.Chmod("x.txt", 0755) 和 os.Chmod("x.txt", 0644) 在 Windows 上效果一样——只影响 FILE_ATTRIBUTE_READONLY 标志，其他位全丢，不报错也不警告。
这意味着：
-
fi.Mode().Perm() & 0020 != 0在 Windows 上永远为 false - 不能靠权限位判断“是否可执行”，得用
exec.LookPath - Web 服务等跨平台场景，真正起效的权限控制必须落在应用层（如路径白名单、JWT 校验）
- 需要细粒度 ACL 的 Windows 场景，得用
golang.org/x/sys/windows调SetNamedSecurityInfo
644）和符号链接默认跟随行为。前者导致权限彻底错乱，后者让 Chmod 改错目标。 
