filepath.Join 和 filepath.Clean 就够了，别拼字符串、别信 filepath.Abs 的“绝对”假象；字符串拼接路径易导致跨平台斜杠混乱、路径遍历风险及 fs 函数异常，应统一用 Join 拼接、Clean 规范用户输入，并以 os.Executable() + Dir 构造可靠绝对路径。
用 filepath.Join 和 filepath.Clean 就够了，别拼字符串、别信 filepath.Abs 的“绝对”假象。
为什么字符串拼接路径在 Go 里是危险操作
Windows 用 ，Linux/macOS 用 /，硬写 "config/" + filename 或 fmt.Sprintf("%s/%s", dir, file) 很可能在某台机器上生成 C:path//file.json 或 /tmp/config//sub/file.txt——多一个斜杠就可能触发某些 fs 函数的异常行为，甚至被解析成跨目录路径（比如 ../etc/passwd）。
常见错误现象：
-
os.Open("data/../config.yaml")意外读到上级目录文件 - 在 Windows 上跑 Linux 路径逻辑，
os.Stat返回no such file却查不出原因 - Docker 容器内挂载路径因拼接不规范导致配置加载失败
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 永远用
filepath.Join("a", "b", "c.yaml")，它自动选对分隔符、折叠..和. - 用户输入的路径（如 CLI 参数）先过一遍
filepath.Clean()，再校验是否仍在允许根目录下（比如strings.HasPrefix(cleaned, allowedRoot)） - 不要对 UNC 路径（如
\servershare）或 URL 直接用filepath，它们不属于该包设计范围
如何可靠获取二进制所在目录并拼配置路径
os.Getwd() 返回的是进程启动时的工作目录，不是程序本身在哪——systemd 启动、IDE 调试、Docker WORKDIR 不一致时，os.Getwd() 指向完全不可控的位置。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 用
os.Executable()拿到当前二进制完整路径，再用filepath.Dir()提取目录 - 组合配置路径：
confPath := filepath.Join(filepath.Dir(exePath), "config.yaml") - 务必检查
os.Executable()的 error；符号链接场景下，需要额外调filepath.EvalSymlinks()，但它可能失败（权限/路径不存在），不能无条件调用
filepath.Abs 和 filepath.Rel 的典型误用
filepath.Abs("config.json") 看似“转成绝对路径”，其实只是把当前工作目录拼上去，本质仍是依赖 os.Getwd() ——和直接用 os.Getwd() 没区别，还多一层误导。
filepath.Rel("/app/data", "/tmp/log") 在不同磁盘或挂载点会 panic 报错 "Rel: can't make /tmp/log relative to /app/data"，而不是返回空字符串或 fallback 值。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 记录日志路径、配置路径等关键路径时，优先构造绝对路径（
os.Executable()+filepath.Join），不依赖filepath.Abs - 生成 HTML 静态资源相对路径前，先用
filepath.VolumeName()（Windows）或strings.HasPrefix()（跨平台）确认两路径同属一个根目录 -
filepath.Rel的 error 必须显式处理，生产环境里忽略它等于埋 panic
最易被忽略的一点：路径拼接不是“写完能跑就行”，而是必须在所有目标系统（尤其是混合部署环境）中表现一致；filepath.Join 是唯一能跨平台收敛行为的原语，其余都是妥协方案。
