Go中拼接文件路径必须用filepath.Join，而非+或fmt.Sprintf，因其自动适配分隔符、清理空段和"."、字面折叠".."，是跨平台与安全的强制要求。
Go 中拼接文件路径不能用 + 或 fmt.Sprintf，必须用 filepath.Join——这不是“建议”，而是跨平台和安全底线。混用或手拼会在 Windows 上直接失败，还可能引入路径遍历漏洞。
为什么 filepath.Join 是唯一可接受的拼接方式
它不是“更方便”，而是唯一能同时满足三件事的函数：自动选对分隔符（/ 或 ）、清理空段和 .、遇到 .. 时做字面折叠（如 "a/b/.." → "a"）。字符串拼接做不到其中任何一点。
-
os.Open("logs/" + name)在 Windows 上可能生成logs ile.txt（斜杠被当控制符） -
filepath.Join("logs", "../etc/passwd")得到logs/../etc/passwd，而"logs/../etc/passwd"字符串拼接结果一样，但前者至少不会因分隔符错乱导致 open 失败 -
filepath.Join("a", "", "b")自动跳过空字符串，返回a/b；"a" + "" + "b"虽然结果相同，但逻辑脆弱，且无法处理..或末尾/
filepath.Join 的参数陷阱与常见失效场景
它不校验语义，只做结构拼接。传入带前导 / 或盘符的参数会“重置”整个路径，这是设计行为，不是 bug。
-
filepath.Join("config", "/db.yaml")返回/db.yaml（Linux/macOS）或C:db.yaml（Windows），前面的config被丢弃 -
filepath.Join("C:", "foo")在 Windows 返回C:foo（相对路径），不是C: oo；要得到后者，得写filepath.Join("C:\", "foo")或filepath.Join("C:", string(filepath.Separator), "foo") - 传入
"sub/dir/file.txt"会被当做一个段，不是三个；应拆成filepath.Join("base", "sub", "dir", "file.txt")
什么时候必须加 filepath.Clean
filepath.Join 不处理 .. 的越界风险，也不归一化冗余分隔符。用户输入、环境变量、命令行参数这类不可信来源，必须先 Clean 再 Join。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
-
filepath.Clean("../etc/passwd")返回../etc/passwd（没越界就不动），所以 Clean 后还得配合白名单检查，比如strings.HasPrefix(cleaned, allowedRoot) -
filepath.Clean("a//b/./c/../d")→a/b/d，消除冗余，这对日志路径或临时目录拼接很实用 -
filepath.Clean("/tmp/")→/tmp，去掉末尾/，这样后续filepath.Base才能取到"tmp"，而不是空字符串
绝对路径构造与符号链接解析的正确顺序
想确保路径真实存在且落在预期位置，filepath.Abs 和 filepath.EvalSymlinks 必须按顺序调用，且都依赖 filepath.Join 输出的路径作为输入。
- 先
abs, _ := filepath.Abs(filepath.Join("conf", "app.yaml"))，再real, _ := filepath.EvalSymlinks(abs)；反过来或跳过Abs，EvalSymlinks可能失败或静默返回错误路径 -
filepath.EvalSymlinks要求路径真实存在，否则返回os.ErrNotExist，不能用于预检 - Windows 下对 junction 和 hard link 支持有限，
EvalSymlinks可能静默失败，别把它当跨平台通用解法
真正难的不是调用哪个函数，而是判断输入是否可信、是否需 Clean、是否要 Abs、以及最后是否该用 Rel 做反向验证——这些决策点藏在业务逻辑里，不在函数签名上。
