http.FileServer + http.StripPrefix 5行内即可安全提供静态文件，自动处理路径规范、MIME类型、404/403及目录遍历防护；需用绝对路径、禁用目录列表，并注意子路径挂载与embed嵌入的正确用法。
直接用 http.FileServer + http.StripPrefix 就能跑起来，5 行代码以内搞定，不需要任何第三方依赖。
为什么不用自己写文件读取逻辑
自己拼路径、os.Open、查 Stat、设 Content-Type、处理目录遍历——这些都已被 http.FileServer 封装好。它默认做了路径规范化、拒绝 ../ 跳出根目录、自动识别常见 MIME 类型，还内置了 404 和 403 响应逻辑。
- 手动实现容易漏掉安全校验，比如没过滤
%2e%2e/编码绕过 -
http.FileServer的Dir参数必须是绝对路径或相对于当前工作目录的路径，但运行时工作目录不可控，建议显式转成绝对路径 - 它不支持 gzip 压缩，如需压缩得加中间件（比如
gobuffalo/packr/v3或自定义ResponseWriter包装）
挂载到子路径的正确写法
想让 /static/css/app.css 指向本地 ./assets/css/app.css？必须用 http.StripPrefix，否则请求路径会原样传给文件系统，导致找不到文件。
错误示范：http.Handle("/static/", http.FileServer(http.Dir("assets"))) → 实际尝试读取 assets/static/css/app.css
立即学习“go语言免费学习笔记（深入）”；
正确写法：
fs := http.FileServer(http.Dir("assets"))
http.Handle("/static/", http.StripPrefix("/static/", fs))
-
StripPrefix只移除 URL 路径前缀，不改写文件系统路径 - 如果 assets 目录不在当前目录，用
filepath.Abs("assets")获取绝对路径再传给http.Dir - 注意：注册路径末尾的
/不能省，否则/static（无尾斜杠）会被当成文件名匹配，而非目录前缀
嵌入静态资源比外挂更可靠
部署时担心文件路径错乱、权限问题、CDN 同步延迟？直接用 //go:embed 把整个 static/ 目录编译进二进制。
关键约束必须满足：
- 必须导入
_ "embed"（空白导入），否则编译器忽略//go:embed -
//go:embed必须紧贴变量声明，中间不能有空行或其它语句 - 路径是字面量，不能拼接：
"static/*"✅，dir + "/*"❌ - 读取时用
fsys.ReadFile("static/style.css")，别用fsys.Open后手动Read—— 容易漏Close导致资源泄漏
示例：
import _ "embed"
<p>//go:embed static/*
var staticFS embed.FS</p><p>func handler(w http.ResponseWriter, r *http.Request) {
data, err := staticFS.ReadFile("static" + r.URL.Path)
if err != nil {
http.Error(w, "not found", http.StatusNotFound)
return
}
w.Header().Set("Content-Type", "text/css")
w.Write(data)
}
生产环境必须关掉目录列表
http.FileServer 默认开启目录索引（类似 Apache 的 auto-index），暴露文件结构，属于信息泄露风险。
关闭方式只有两种：
- 用
http.FileServer包裹一个自定义http.FileSystem，重写Open方法拦截对目录的Open调用并返回fs.ErrNotExist - 更简单：用
http.ServeFile替代，但它只服务单个文件，不适合整站静态资源
推荐做法：加一层包装，禁止所有目录访问：
type noListFS struct{ fs http.FileSystem }
func (n noListFS) Open(name string) (http.File, error) {
f, err := n.fs.Open(name)
if err != nil { return nil, err }
s, err := f.Stat()
if err != nil { return nil, err }
if s.IsDir() { return nil, fs.ErrNotExist }
return f, nil
}
<p>http.Handle("/static/", http.StripPrefix("/static/", http.FileServer(noListFS{http.Dir("assets")})))
真正容易被忽略的是：开发时图省事开着目录列表，上线后忘了关——这会让攻击者直接看到 config/、backup/ 等敏感目录名，哪怕里面实际没文件。
