filepath.Join不能防路径穿越，因为它仅拼接路径、适配分隔符、忽略空字符串和"."，但不解析".."、不校验输入合法性，也不阻止恶意路径片段；需配合filepath.Clean、白名单前缀校验及filepath.Rel等手段闭环防护。
为什么直接用 filepath.Join 不能防路径穿越？
因为 filepath.Join 只做路径拼接，不校验语义合法性。比如用户传入 "../../etc/passwd"，拼进根目录后仍可能指向系统敏感文件。Go 标准库不自动拒绝含 ".." 或 "." 的输入——它默认信任调用方已做过滤。
常见错误现象：Web 服务接收文件名参数（如 GET /download?file=../config.yaml），未校验就传给 os.Open，导致任意文件读取漏洞。
- 使用场景：HTTP 文件下载、模板渲染路径、配置加载入口
- 关键点：校验必须在拼接前完成，而非拼接后检查
filepath.Abs是否越界 - 注意：
filepath.Clean会把"../a"归一化为"a"，但若原始输入是"../../../etc/shadow"，Clean后仍是"/etc/shadow"（Linux）或"C:\etc\shadow"（Windows），无法靠它识别恶意意图
如何用 filepath.Clean + 白名单前缀做安全过滤？
核心思路：先归一化路径，再确认其是否严格落在允许的根目录下。不能只检查开头是否匹配字符串，必须用 filepath.Rel 或逐段比对，否则会被 "safe/../../etc/passwd" 绕过。
示例逻辑：
立即学习“go语言免费学习笔记（深入）”；
// 允许读取的根目录
allowedRoot := "/var/www/uploads"
userInput := "../etc/passwd"
cleaned := filepath.Clean(userInput) // → "etc/passwd"（Linux）
absPath := filepath.Join(allowedRoot, cleaned) // → "/var/www/uploads/etc/passwd"
rel, err := filepath.Rel(allowedRoot, absPath)
if err != nil || strings.HasPrefix(rel, "..") || rel == "." {
return errors.New("path traversal detected")
}
-
filepath.Rel返回相对路径，如果结果以".."开头，说明absPath超出了allowedRoot - Windows 下需统一用
filepath.ToSlash处理路径分隔符，避免"..etcpasswd"绕过 - 不要用
strings.HasPrefix(absPath, allowedRoot)—— 当allowedRoot="/a"且absPath="/ab/c"时会误判
filepath.EvalSymlinks 会带来什么新风险？
如果业务允许符号链接，调用 filepath.EvalSymlinks 后路径可能跳转到任意位置。此时仅靠前缀校验失效，必须在 EvalSymlinks 后再次校验最终路径是否仍在白名单内。
- 典型场景：打包工具解压 zip 文件，其中包含 symlink 指向
/etc - 正确顺序：先
Clean→ 拼接 →Rel初筛 →EvalSymlinks→ 再Rel二次校验 - 性能影响：每次都要系统调用，高并发下有开销；若确定无 symlinks，可跳过
- 注意：
EvalSymlinks在目标不存在时会返回 error，需提前os.Stat确认存在性，否则可能被利用制造条件竞争
边界情况：空输入、Unicode 点号、URL 编码绕过
攻击者可能提交 "%2e%2e%2fetc%2fpasswd" 或全角点号 ＂．．／etc／passwd＂，标准 filepath 包不处理编码解码和 Unicode 归一化。
- 必须在调用
filepath.Clean前完成 URL 解码（用url.PathUnescape） - 对 Unicode 路径，建议用
norm.NFC归一化（尤其 Windows 上的组合字符） - 空字符串、
"."、".."单独输入也要显式拒绝，避免Join("root", ".")得到"root/."后被 Clean 成"root" - Windows 下还要额外检查驱动器字母（如
"C:windowssystem32"），防止跨盘逃逸
路径校验不是一次拼接+一次 Clean 就完事的事，每个环节都可能漏掉一个点号或一种编码变体。真正安全的做法是：解码 → 归一化 → Clean → 拼接 → Rel 校验 → （可选）EvalSymlinks → 再 Rel 校验。
