filepath.Clean不能单独用于安全校验，因其仅做路径字符串归一化，不拒绝越界路径、不处理空字节、不解析符号链接、不校验盘符或根目录限制；必须组合规范化、白名单比对（如filepath.Rel或strings.HasPrefix）和os.O_NOFOLLOW打开文件三步闭环。
filepath.Clean 不是安全校验，只是路径标准化的第一步。单靠它或正则表达式无法防止路径遍历、空字节、符号链接绕过等攻击——必须组合三步：规范化 → 白名单比对 → 最小权限打开。
为什么 filepath.Clean 不能单独用于安全校验
filepath.Clean 只做语义归一化：把 "./a/../b" 变成 "b"，把 "../../etc/passwd" 变成 "/etc/passwd"（Linux）或 "C:\etc\passwd"（Windows）。它不拒绝、不报错、也不检查是否越界。
常见错误现象：filepath.Clean("../secret") 返回 "../secret"，直接拼进 os.Open 就可能读到根目录外文件；Windows 下 filepath.Clean("C:\temp\..\user") 返回 "C:\user"，但若没校验盘符，就可能跨盘访问。
- 它不处理空字节（
"file.txt .exe"时，filepath.Clean无感知，后续os.Open可能静默截断为"file.txt" - 它不识别符号链接：传入软链接路径，
Clean只清理路径字符串，不解析目标 - 它不保证结果是相对路径：若输入已是绝对路径，
Clean直接返回该绝对路径，可能绕过你预设的根目录限制
必须用 strings.HasPrefix 做白名单校验
规范化后必须立刻用 strings.HasPrefix 检查 cleaned 路径是否落在授权根目录内。这是防御路径遍历的核心环节。
关键细节：
立即学习“go语言免费学习笔记（深入）”；
- 统一路径分隔符：Windows 返回
，Linux 返回/，比对前务必用filepath.ToSlash转成/格式 - 根路径末尾要加
/：比如允许根是"/var/www"，比对目标时应写strings.HasPrefix(filepath.ToSlash(abs), filepath.ToSlash(root)+"/")，否则"/var/www-root"也会通过 - Windows 盘符需显式处理：先用
filepath.VolumeName提取盘符，再比对剩余部分是否在白名单内，或统一转小写后比对 - 不要手动拼接路径再比对：用
filepath.Join(root, cleaned)得到绝对路径，再校验；避免因cleaned是绝对路径导致Join直接丢弃root
用 filepath.Rel 替代手写前缀比对更可靠
filepath.Rel 是更健壮的越界检测方式：它计算从白名单根到目标路径的相对路径，若结果含 ".." 或返回 error，说明目标不在允许范围内。
示例：
rel, err := filepath.Rel("/var/www", "/var/www/uploads/../../etc/shadow")
// rel == "../etc/shadow" → 明确越界，应拒绝
注意点：
- 两个路径都必须是绝对路径，可用
filepath.Abs转换，但Abs可能触发 IO（如解析符号链接），生产环境建议只对已知安全的根目录调用 - Windows 下跨盘符（如从
C:到D:）会返回 error，Unix 下跨根目录（如/a到/b）同样报错——这正是你想要的防御信号 -
Rel不依赖字符串前缀，天然规避大小写、多余分隔符等问题
打开文件时必须加 os.O_NOFOLLOW
os.Open 默认跟随符号链接，存在 TOCTOU（check-then-use）竞态：你刚用 filepath.Clean + Rel 校验完，文件就被替换成恶意 symlink，后续 Open 就访问到不该访问的位置。
正确做法：
- 用
os.OpenFile(path, os.O_RDONLY|os.O_NOFOLLOW, 0)，其中os.O_NOFOLLOW是关键：遇到 symlink 直接失败 - 不要先
os.Stat再os.Open：Stat只确认“此刻存在”，不防竞态，也不能替代白名单 - 错误要区分处理：
os.IsNotExist(err)表示路径不存在，os.IsPermission(err)表示权限不足，os.IsSymlink(err)不会单独出现，但O_NOFOLLOW失败时通常伴随syscall.ELOOP或平台特定错误
真正安全的路径准入，不是靠某一个函数，而是三步闭环：Clean → Rel 或 HasPrefix 白名单 → OpenFile with O_NOFOLLOW。漏掉任何一步，都可能被绕过。最易被忽略的是空字节和坏链（dangling symlink）——它们既不是有效文件，也不在常规校验路径里，但依然能触发异常行为。
