直接os.WriteFile不安全，因其先清空原文件再写入，崩溃或断电会导致原文件永久丢失；安全替换必须用临时文件+os.Rename原子重命名，且需确保同文件系统、权限继承、错误回滚。
为什么直接 os.WriteFile 不算安全替换
直接覆盖原文件（比如用 os.WriteFile）在写入中途崩溃或断电时，原文件内容会永久丢失——它不是原子操作。Linux/macOS 上没有“覆盖即原子”的保证，Windows 更是会先清空再写入。真正的安全替换必须依赖“先写新文件 + 原子重命名”这一组合。
用 os.Rename 实现原子替换的关键约束
os.Rename 在同一文件系统内才是原子的；跨分区、跨挂载点会失败（syscall.EXDEV）。所以必须确保临时文件和目标路径在同一个磁盘/挂载点上：
- 临时文件应创建在目标文件所在目录（而非
/tmp），例如用filepath.Join(filepath.Dir(dst), "tmp-xxx") - 务必检查
os.Rename返回的错误：若为syscall.EXDEV，需 fallback 到拷贝 + 删除（无法原子，但至少保留原文件直到最后一步） - 临时文件权限要继承原文件（用
os.Stat读取Mode()），否则替换后可能丢掉可执行位或导致权限收紧
完整可复用的替换函数示例
以下函数处理了权限继承、同盘检测、错误回滚（删除临时文件）等关键点：
func SafeWriteFile(dst string, data []byte) error {
fi, err := os.Stat(dst)
if err != nil && !os.IsNotExist(err) {
return err
}
mode := os.FileMode(0644)
if err == nil {
mode = fi.Mode()
}
dir := filepath.Dir(dst)
tmp, err := os.CreateTemp(dir, ".tmp-*")
if err != nil {
return err
}
defer os.Remove(tmp.Name()) // 确保失败时清理
if _, err := tmp.Write(data); err != nil {
tmp.Close()
return err
}
if err := tmp.Chmod(mode); err != nil {
tmp.Close()
return err
}
if err := tmp.Close(); err != nil {
return err
}
if err := os.Rename(tmp.Name(), dst); err != nil {
if errors.Is(err, syscall.EXDEV) {
// fallback: copy + remove
if err2 := CopyFile(tmp.Name(), dst); err2 != nil {
return err2
}
return os.Remove(tmp.Name())
}
return err
}
return nil
}
注意 os.CreateTemp 的父目录权限和 SELinux 上下文
如果目标目录被限制（如只允许特定 SELinux 类型写入），os.CreateTemp 可能静默失败或生成不可重命名的文件。生产环境建议：
立即学习“go语言免费学习笔记（深入）”；
- 提前检查目标目录是否可写：
os.OpenFile(dir, os.O_WRONLY, 0) - 避免在容器中将宿主机目录挂载为
ro或带noexec标志 - 若使用 systemd 服务，确认
ProtectSystem=和ReadWritePaths=配置允许写入目标路径
最易被忽略的是：临时文件创建后、重命名前，进程崩溃会导致残留 .tmp-* 文件——虽然不破坏数据一致性，但积累多了会占满 inode。上线前务必加定时清理逻辑或监控临时文件数。
