filepath.Clean本身不防路径穿越，仅做标准化：它将./a/../b变为b、////tmp//./../etc/passwd变为/etc/passwd，但不拒绝输入、不校验越界；必须配合URL解码、白名单前缀校验及符号链接/TOCTOU防护才安全。
filepath.Clean 本身不防路径穿越，只做标准化
很多人以为调用 filepath.Clean 就能拦住 ../../etc/passwd，其实它只是把路径“理顺”：把 ./a/../b 变成 b，把 ////tmp//./../etc/passwd 变成 /etc/passwd。它不拒绝任何输入，也不校验是否越界——filepath.Clean("../../etc/passwd") 返回 /etc/passwd，你若直接拼进 os.Open，就等于把整个系统目录暴露了。
它也不是字符串清洗函数：filepath.Clean("%2e%2e%2fetc%2fpasswd") 原样返回，因为没解码；filepath.Clean("C:\Windows\System32\drivers\etc\hosts") 在 Linux 上也照常返回，毫无拦截能力。
- 它只处理路径语义：归一化分隔符、折叠
.和..、消除重复斜杠 - 它不处理 URL 编码、空字节（
CON、AUX） - 它不检查符号链接，也不防 TOCTOU 竞态
必须先解码再 Clean，且仅一次
r.URL.Path 已由 Go HTTP 服务器自动解码，但 r.URL.Query().Get("file")、表单字段、JSON body 中的路径字段全都没解码。攻击者传 %2e%2e%2fetc%2fpasswd，跳过所有后续校验的唯一原因就是你忘了调 url.PathUnescape。
注意：url.PathUnescape 不是幂等的，重复调用可能出错（比如把已解码的 .. 再解一次，变成非法字节）。正确顺序只有一条：
立即学习“go语言免费学习笔记（深入）”；
- 对用户输入路径（非
r.URL.Path）调一次url.PathUnescape - 立刻传给
filepath.Join拼接（不要字符串拼接） - 再调
filepath.Clean - Windows 下建议紧接着用
filepath.ToSlash统一为正斜杠再比对
clean 后必须用 strings.HasPrefix 做白名单前缀校验
filepath.Clean 的输出必须和一个**绝对、clean 过、结尾带分隔符**的根路径比对。比如允许访问 /var/www/uploads，就得写：
cleanRoot := filepath.Clean("/var/www/uploads") + string(filepath.Separator)
cleanedPath := filepath.Clean(filepath.Join(cleanRoot, userInput))
if !strings.HasPrefix(cleanedPath, cleanRoot) {
http.Error(w, "Forbidden", http.StatusForbidden)
return
}
常见错误：
- 用
strings.Contains——/var/www/uploaded会被误判匹配/var/www/upload - 根路径没加
string(filepath.Separator)——/var/www/upload会匹配到/var/www/uploads/config.yaml失效 - 根路径是相对路径（如
"./uploads"）或动态拼接（如"/var/www/" + dir）—— 无法保证绝对性和稳定性 - 比对前没对
cleanRoot调filepath.Clean——./uploads和uploads/比对会失败
打开文件前必须防符号链接和 TOCTOU 竞态
即使路径通过了前缀校验，攻击者仍可在你调 os.Stat 和 os.Open 之间，把目标文件替换成指向 /etc/shadow 的软链——这就是 TOCTOU 漏洞。
安全做法不是省略检查，而是让检查和打开尽量原子化：
- 先用
os.Lstat查info.Mode() & os.ModeSymlink != 0，为真则直接拒绝 - 若业务必须支持符号链接，用
filepath.EvalSymlinks获取真实路径，再重新走一遍filepath.Clean+strings.HasPrefix校验 - Linux/macOS 下优先用
os.OpenFile(path, os.O_RDONLY, 0)配os.O_NOFOLLOW，直接阻止跟随 - 绝对避免先
os.Stat再os.Open的分离调用——两者之间存在不可控竞态窗口
真正危险的不是 filepath.Clean 本身，而是把它当成最后一道防线。它只是四层拦截里的第二步：解码 → Clean → 白名单前缀校验 → 符号链接/TOCTOU 防护。漏掉任意一层，都可能让 ../ 直接穿透到系统关键位置。
