应先用std::filesystem::weakly_canonical()规范化路径，再检查是否在允许根目录内，禁止直接拼接用户输入；读取时用二进制模式、预分配缓冲区；响应头必须含Content-Length和正确Content-Type，且严格按HTTP协议分隔。
用 std::filesystem 读取文件前先检查路径是否安全
直接拼接 URL 路径和根目录（比如 "./static/" + request_path）极易被路径遍历攻击，比如 GET /../../etc/passwd。C++17 的 std::filesystem 提供了可靠的路径规范化和父路径判断能力。
- 用
std::filesystem::weakly_canonical()或std::filesystem::canonical()规范化请求路径（后者要求目标存在，前者更宽松） - 检查规范化后的路径是否仍落在允许的根目录下：
root_path.is_relative_to(allowed_root)（C++20），或手动比较字符串前缀（C++17） - 对 Windows 路径分隔符也要兼容：统一转为
/或用std::filesystem::path原生处理，别用.find("..")这类字符串暴力匹配
用 std::ifstream 二进制读取 + std::vector<char></char> 返回内容
静态文件不能用文本模式打开，否则会破坏图片、PDF 等二进制内容；也不能逐行读取，效率低且易丢字节。最稳妥的是按块读取到内存缓冲区，再一次性写入 socket。
- 打开文件时指定
std::ios::binary标志：std::ifstream file(path, std::ios::binary | std::ios::ate) - 用
file.tellg()获取文件大小，std::vector<char> buffer(size)</char>预分配，再file.read(buffer.data(), size) - HTTP 响应体必须严格等于文件原始字节 —— 不要额外加换行、trim 空格，也不要依赖
std::endl
手动构造 HTTP 响应头时必须包含 Content-Length 和 Content-Type
没有 Content-Length，客户端无法知道响应体边界，尤其浏览器会卡住或乱码；Content-Type 缺失则默认为 text/plain，导致 CSS/JS 不执行、图片不渲染。
C++ Code Review Master
下载
组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。
- 用简单映射表推断 MIME 类型：
".html" → "text/html"、".jpg" → "image/jpeg"，别依赖系统命令或外部库 -
Content-Length必须是文件字节数（不是buffer.size()后再加其他内容） - 状态行和头之间用
"\r\n"分隔，头与体之间用两个"\r\n"，别漏掉回车符 —— Linux 换行\n在 HTTP 协议里无效
监听 socket 用 SO_REUSEADDR 避免重启报 Address already in use
开发调试时频繁 Ctrl+C 中断服务，下次启动常因 TIME_WAIT 状态导致端口被占。这不是代码逻辑错，而是 socket 选项没设好。
立即学习“C++免费学习笔记（深入）”；
- 在
bind()前对监听 socket 调用setsockopt(fd, SOL_SOCKET, SO_REUSEADDR, &on, sizeof(on)) - Windows 上还需额外设置
SO_EXCLUSIVEADDRUSE（但通常SO_REUSEADDR已够用） - 记得
close()所有 accept 出来的 client fd，否则连接数涨满后新请求会被拒绝，现象像“服务突然不响应”
Content-Type 表覆盖不全、路径校验漏掉符号链接、socket 关闭顺序错位——这些都不是编译错误，但会让服务在特定请求下静默失败。留心每个环节的边界条件，比堆功能更重要。 
