静态文件目录下执行脚本危险，因误放可执行文件（如.php、.html）可能引发XSS或RCE；关键在于通过响应头X-Content-Type-Options: nosniff和扩展名拦截（如.php、.html）确保资源仅被当作静态内容加载。
为什么静态文件目录下执行脚本是危险的
当 Gin 用 static.Serve 或标准 http.FileServer 暴露静态目录时，如果该目录里混入了可执行脚本（如 .html 里内嵌恶意 JS、.php 文件被误放、甚至 .js 被服务端解析执行），攻击者可能通过构造 URL 触发 XSS、服务端模板注入，或利用某些错误配置实现远程代码执行。Gin 本身不解析脚本，但前端或中间件误配、反向代理透传、或静态资源被当作动态内容处理时，风险就真实存在。
禁止执行的关键：剥离可执行 MIME 类型 + 阻断敏感扩展名
核心不是“阻止运行”，而是确保浏览器/客户端**只把它当纯资源加载**，不触发解析或执行逻辑。重点在响应头和路径过滤：
-
X-Content-Type-Options: nosniff必须设置——防止浏览器根据文件内容“猜” MIME 类型并错误执行（比如把text/plain当text/html渲染） - 对
.html、.htm、.php、.cgi、.pl等扩展名做显式拦截，返回404或403，而不是让FileServer原样返回 - 避免把模板文件（如
index.tmpl）、配置文件（如.env、.git/config）放在静态目录下——它们不该被公网访问
用 gin-contrib/static 时如何加安全拦截
gin-contrib/static 本身不提供扩展名过滤，必须自己包装一层中间件。不要直接用 static.Serve("/static", static.LocalFile("./assets", true)) 就完事：
- 先定义一个安全检查函数，拦截危险扩展名：
func safeStaticHandler(dir string) gin.HandlerFunc { return func(c *gin.Context) { path := c.Request.URL.Path if strings.HasSuffix(path, ".php") || strings.HasSuffix(path, ".html") || strings.HasPrefix(path, "/.") { c.AbortWithStatus(http.StatusNotFound) return } c.Next() } } - 再组合使用：
router.Use(safeStaticHandler("./assets")) router.Use(static.Serve("/static", static.LocalFile("./assets", true))) - 注意顺序：拦截中间件必须在
static.Serve之前注册，否则请求已经进去了才检查就晚了
更彻底的做法：用 net/http.FileServer 自定义 FileSystem
如果你需要精细控制（比如禁止所有非白名单扩展名），直接用标准库更可控：
- 实现
http.FileSystem接口，在Open方法里做扩展名校验 - 拒绝打开
.js以外的任何可执行类文件？可以——但注意：CSS、图片、字体也得放行，所以建议白名单而非黑名单 - 示例片段：
type SafeFS struct { fs http.FileSystem } func (s SafeFS) Open(name string) (http.File, error) { ext := strings.ToLower(filepath.Ext(name)) if !slices.Contains([]string{".css", ".js", ".png", ".jpg", ".woff2"}, ext) { return nil, errors.New("forbidden extension") } return s.fs.Open(name) } - 然后：
http.Handle("/static/", http.StripPrefix("/static/", SafeFS{http.Dir("./assets")}))
这种写法绕过了 gin-contrib/static，但换来的是完全可控的文件访问逻辑——尤其适合生产环境对静态资源有强策略要求的场景。
