filepath.Join是唯一安全的跨平台路径拼接方式，因其自动适配os.PathSeparator、去重冗余分隔符、跳过空字符串和"."，但不折叠".."或校验安全性，须配合Abs、Clean及白名单校验才能闭环。
filepath.Join 是唯一安全的跨平台路径拼接方式，其他任何字符串拼接（+、fmt.Sprintf）在 Windows 上大概率导致 no such file or directory 或静默读错文件——这不是兼容性“建议”，是硬性要求。
为什么不能用 + 或 fmt.Sprintf 拼路径
字符串拼接完全不感知操作系统语义："config" + "/" + "app.yaml" 在 Windows 上生成 config/app.yaml，部分 API 能容忍，但 exec.Command("cmd.exe", "/c", "type", path) 会直接失败；更糟的是 dir + "/" + "file.txt" 若 dir 末尾已有 /，会变成 path//file.txt，而 filepath.Join 自动去重冗余分隔符。
filepath.Join 还自动适配 os.PathSeparator（Windows 是 ，其他是 /），跳过空字符串和 "."，但保留 ".." 不折叠——这是设计行为，不是 bug。
-
filepath.Join("a//b", "c")→a/b/c（Linux）或ac（Windows），不是a//b/c -
filepath.Join("a", "..", "b")→a/../b，需后续filepath.Clean才得b - 传入含分隔符的字符串（如
"sub/dir/file.txt"）是错的，应拆成filepath.Join(base, "sub", "dir", "file.txt") -
filepath.Join("root", "/etc/passwd")正确丢弃"root"，返回/etc/passwd；而"root" + "/etc/passwd"拼出root/etc/passwd，逻辑彻底错乱
用户输入路径必须走 filepath.Abs + filepath.Clean + 白名单校验
filepath.Clean 只做纯字符串归一化：合并 //、解析 . 和 ..、去掉末尾 /，但它不访问磁盘，也不转绝对路径，更不阻止越界。例如 filepath.Clean("../../etc/passwd") 仍返回 ../../etc/passwd，直接 os.Open 就可能读取敏感文件。
正确闭环是：
立即学习“go语言免费学习笔记（深入）”；
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 先统一输入分隔符：
path = strings.ReplaceAll(strings.ReplaceAll(path, "\", string(filepath.Separator)), "/", string(filepath.Separator)) - 再转绝对路径：
abs, err := filepath.Abs(path)—— 注意：这依赖os.Getwd()，生产环境应避免；更稳的是用execPath, _ := os.Executable()→execDir := filepath.Dir(execPath)→abs, _ := filepath.Abs(filepath.Join(execDir, path)) - 然后清理：
cleaned := filepath.Clean(abs)（此时才真正折叠..） - 最后白名单校验：
strings.HasPrefix(cleaned, allowRoot+string(filepath.Separator))，结尾加分隔符防绕过（比如allowRoot="/opt/myapp"必须写成"/opt/myapp" + string(filepath.Separator)，否则/opt/myapp_hacked会被误放行）
程序自身所在目录不能靠 os.Getwd()
os.Getwd() 返回的是进程启动时的工作目录，不是二进制或源码所在位置。本地 go run main.go 可能正常，但打包后在别处执行就崩。Windows 各盘符还有独立工作目录（C: 和 D: 是两个上下文），导致同份配置在 CI 和本地输出路径结构不一致、无法比对、白名单校验失败。
真正稳定的做法是锚定可执行文件自身位置：
- 调用
os.Executable()获取二进制路径，再用filepath.Dir()提取其所在目录 —— 这是程序“出生地”，不受cd影响 - 用
filepath.Join(execDir, "etc", "app.conf")拼出目标路径，永远不要用+或fmt.Sprintf - 必要时加
filepath.EvalSymlinks()处理符号链接（例如 Docker 中挂载的 config 目录），但顺序必须是先Join→ 再Abs→ 最后EvalSymlinks，否则EvalSymlinks会因相对路径找不到起点而失败
path 包 vs filepath 包：别混用
path 包专为 URL、ZIP 内部路径等抽象路径设计，永远只认 /，在 Windows 上处理 C: mp 会崩成 .；filepath 才是处理本地文件系统的唯一正解。
典型错误：
-
path.Dir("c:\foo\bar.exe")返回.，因为被当普通字符 -
filepath.Dir("c:\foo\bar.exe")正确返回c:\foo - 用
path.Join拼本地路径，结果在 Windows 上变成C:etcpp.conf这类非法路径
所有与本地文件系统交互的场景——读配置、写日志、打开用户传入的文件——都必须用 filepath 包函数，且拼接必须用 filepath.Join。
filepath.Join 不是“推荐做法”，它是 Go 跨平台文件路径操作中不可绕过的语义边界。容易被忽略的是：它不解决越界、不 resolve 符号链接、不自动 clean，必须配合 Abs、Clean、白名单和基准锚定才能形成完整闭环。 
