字符串清洗前必须先明确定义“非法”范围，Go无内置“非法字符”概念，所有过滤依据均需按业务规则自定义白名单或黑名单；处理Unicode必须用rune遍历，禁用byte操作；filepath.Base是文件名提取安全起点，filepath.Clean仅作路径语义压缩而非过滤器；拼接路径须用filepath.Join，命令执行须用exec.Command参数化。
字符串清洗前必须先明确定义“非法”范围
Go 没有内置“非法字符”概念，strings.ContainsAny 或正则匹配的依据只能是你自己业务定的规则。比如文件名不允许 /、:、..；邮件头必须剔除
、
、 ；HTTP 请求头只允许 RFC 7230 定义的 field-vchar（0x21–0x7E）加空格/制表符。不先写清楚白名单或黑名单，所有过滤逻辑都可能漏判或误杀。
常见错误是直接套用“过滤特殊字符”这种模糊表述：
- 用户昵称里禁 " 是防 XSS，不是因为它们“特殊”
- 文件路径中 在 Windows 是合法分隔符，在 Linux 就是普通字符
- 中文、emoji 是否允许？得用 rune 遍历，不能用 byte 切片判断
实操建议：
• 白名单优先：如只允许 a-z、A-Z、0-9、_、-、.
• 黑名单慎用：若必须用 strings.ContainsAny(s, "'\/ ")，注意 是 Go 字符串字面量，不是转义符
• 超长黑名单（>50 字符）建议预建 map[rune]bool 提速
处理 Unicode 字符必须用 rune，不能用 byte
中文、emoji、生僻字在 UTF-8 下占多个字节，用 []byte 遍历会切碎字符，导致清洗错位或 panic。例如 "王八蛋" 被拆成 6 个无效字节单元，strings.ReplaceAll 可能删掉中间字节，留下乱码。
在 Golang 中使用 samber/hot 进行内存缓存，支持 LRU、LFU、TinyLFU、W‑TinyLFU、S3FIFO、ARC、TwoQueue、SIEVE、FIFO 等淘汰算法，提供 TTL、缓存加载器及分片功能。
正确做法始终基于 []rune：
• 清洗隐形字符：for _, r := range s，再 switch 排查 u200B、uFEFF 等零宽字符
• 敏感词匹配：构建 Aho-Corasick 自动机时，插入和扫描都用 []rune(word)
• 校验合法性：utf8.ValidString(s) 必须在清洗前调用，否则后续逻辑可能崩溃
容易踩的坑：
• len(s) 返回字节数，不是字符数；len([]rune(s)) 才是真实长度
• strings.Map 默认按 byte 处理，对 Unicode 不安全，应手写 rune 循环
• 模板渲染或日志输出前没做 fmt.Printf("%q", s) 调试，看不见隐藏控制符
不同场景下该用哪类清洗函数
没有万能清洗函数，必须按使用位置选：
• filepath.Base 是提取文件名的唯一安全起点——它自动剥离 .. 和 .，但**不处理 URL 编码**，必须先 url.PathUnescape
• filepath.Clean 不是过滤器，只是路径语义压缩：它把 a/./b/../c 变成 a/c，但 filepath.Clean("../../etc/passwd") 返回 ../etc/passwd，完全不防越界
• html.EscapeString 只用于 HTML 输出上下文，塞进 SQL 或命令行就是误用
• bluemonday.Sanitize 专用于富文本 XSS 过滤，依赖 DOM 解析，不能替代字段级校验
典型组合示例：
• 文件上传名清洗：decoded := url.PathUnescape(input) → base := filepath.Base(decoded) → if !strings.HasSuffix(base, ".pdf") { ... }
• Prometheus 标签值清洗：clean := regexp.MustCompile(<code>`[^a-zA-Z0-9_.:-]`).ReplaceAllString(val, "_")
• SMTP 邮件头清洗：strings.Map(func(r rune) rune { if r == '
' || r == '
' || r == ' ' { return -1 }; return r }, s)
拼接路径或命令时禁止字符串拼接
"uploads/" + userInput 或 fmt.Sprintf("cat %s", path) 是高危操作：前者在 Windows 上生成错误路径分隔符，后者让 ../etc/passwd 直接穿透到根目录。Go 的 os.Open、exec.Command 都不解析字符串中的路径逻辑，它们信任你传入的每一个字节。
安全做法只有两条：
• 路径拼接必须用 filepath.Join("uploads", filename)，它自动适配系统分隔符
• 命令执行必须用 exec.Command("cat", cleanedPath)，而非 exec.Command("sh", "-c", "cat "+path)——后者无论怎么“净化”字符串都不可信
• 若需动态 SQL 语法（如 ORDER BY），不用正则删字符，而用预定义白名单：validFields := map[string]bool{"name": true, "created_at": true}
最容易被忽略的点：
• filepath.Clean 后必须做路径白名单校验：strings.HasPrefix(cleaned, "/var/data/")
• exec.Command 的第一个参数（命令名）也要白名单：if !validCommands[cmd] { return errors.New("command not allowed") }
• 所有清洗必须在数据进入下游环节前完成——入库、日志、响应、命令执行，任一环节漏掉，前面工作全失效
