必须用filepath.Join拼接路径，因其自动适配os.PathSeparator、去重冗余分隔符、处理空字符串和"."，且是唯一与os函数协同安全的方式；其他方式在Windows上会稳定触发no such file or directory或静默读错文件。
必须用 filepath.Join 拼路径，其他方式在 Windows 上大概率失败
硬编码 / 或用 +、fmt.Sprintf 拼接路径，在 Windows 上不是“偶尔出错”，而是稳定触发 no such file or directory 或静默读错文件。比如 "config" + "/" + "app.yaml" 在 Windows 生成 config/app.yaml，部分 API 能容忍，但 exec.Command 调用 cmd.exe 时直接拒绝；更糟的是 dir + "/" + "file.txt" 若 dir 已带尾部 /，会变成 path//file.txt —— filepath.Join 自动去重冗余分隔符，且始终使用 os.PathSeparator（Windows 是 \，其他是 /）。
注意这些行为：
-
filepath.Join("a//b", "c")→"a/b/c"（不是"a//b/c"） -
filepath.Join("a", "..", "b")→"a/../b"（不折叠，需后续filepath.Clean） - 传入含分隔符的字符串（如
"sub/dir/file.txt"）是错的，应拆成filepath.Join(base, "sub", "dir", "file.txt") - 任意参数为绝对路径（如
"C:\tmp"或"/etc/hosts"），前面所有参数被丢弃 —— 这是设计行为，不是 bug
filepath.Abs 不可靠，改用 os.Executable 定基准
filepath.Abs 强依赖 os.Getwd()，而工作目录在 Windows 各盘符独立（C: 和 D: 是两个上下文），在容器、IDE 或并发 goroutine 中极易被修改。结果就是：同份代码在 CI（/workspace）和本地（/home/user/project）输出的绝对路径前缀不同，白名单校验直接失败。
正确做法是锚定二进制自身位置：
立即学习“go语言免费学习笔记（深入）”；
- 调用
exePath, err := os.Executable()获取当前可执行文件路径 - 用
exeDir := filepath.Dir(exePath)提取所在目录 - 再用
filepath.Join(exeDir, "etc", "app.conf")拼目标路径 - 避免在循环里反复调用
Join+Abs，基础路径提前算好复用
用户输入路径必须走 filepath.Abs → filepath.Clean → 白名单校验闭环
filepath.Clean 只做字符串归一化：压缩 //、解析 . 和 ..、去掉末尾 /，但它不访问磁盘，也不转绝对路径。例如 filepath.Clean("../../etc/passwd") 仍返回 "../../etc/passwd"，直接 os.Open 就可能越界读取敏感文件。
安全闭环必须三步走：
- 先
abs, err := filepath.Abs(input)转绝对路径（注意：这一步仍依赖os.Getwd()，仅用于用户输入，不用于程序内部路径起点） - 再
cleaned := filepath.Clean(abs) - 最后用
strings.HasPrefix(cleaned, allowRoot+string(filepath.Separator))校验，结尾加分隔符防前缀绕过（如allowRoot="/opt/myapp"必须写成"/opt/myapp" + string(filepath.Separator)）
filepath.EvalSymlinks 顺序不能错，且 Windows 支持有限
若需处理符号链接（如 Docker 挂载的配置目录），顺序必须是：filepath.Join → filepath.Abs → filepath.EvalSymlinks。反序会导致 EvalSymlinks 因相对路径找不到起点而失败。
但要注意：
-
filepath.EvalSymlinks要求路径真实存在，否则返回错误 - Windows 对 junction 支持有限，某些情况静默失败，别依赖它做关键判定
- 它不解决越界问题，必须放在白名单校验之后，仅作最终路径展开
跨平台路径最易被忽略的点不是语法，而是基准点选择：用 os.Getwd() 就等于把稳定性交给运行时环境；用 os.Executable 才真正把控制权拿回来。
