Java Files.walk 怎么安全遍历大目录：流关闭、符号链接与异常清理

线上清理任务最容易出问题的地方，不是找到文件，而是遍历过程中遇到大目录、符号链接或权限异常后，资源和现场怎么收干净。Java 的 Files.walk 返回一个惰性 Stream，应放在 try-with-resources 中使用；需要精确控制访问、跳过异常或处理链接边界时，再换成 walkFileTree。

只做只读筛选或小范围删除时，优先使用“关闭 Stream 的 Files.walk”；需要逐目录处理异常、限制链接和保证清理动作可回滚时，使用 walkFileTree 更稳。

先把 Files.walk 的资源边界说清楚

Files.walk(root) 会按深度优先方式逐步产生路径，调用时并没有把整个目录一次性读进内存。这个特性适合处理文件很多的目录，但也意味着底层目录句柄跟着 Stream 生命周期走。只要遍历结束，就应关闭 Stream；中途抛异常也一样。

Path root = Path.of("/srv/report-cache");
try (Stream paths = Files.walk(root, 3)) {
    paths.filter(Files::isRegularFile)
         .filter(path -> path.toString().endsWith(".tmp"))
         .forEach(this::archiveOrDelete);
}

这里的关键不是把深度写成一个很大的数字，而是先给遍历设边界。清理任务通常只负责缓存文件夹的几层子文件夹，深度上限能避免误扫挂载点或意外嵌套的备份文件夹。

Files.walk 与 walkFileTree 怎么选

两种 API 都能遍历文件夹，但控制粒度不同。Files.walk 适合“得到路径后再统一筛选”的短流程；walkFileTree 则把进入文件夹、访问文件、访问失败和离开文件夹都暴露出来，适合把异常处理写成业务规则。

只筛选路径时，Files.walk 更紧凑

例如只统计超过 30 天的临时文件，可以在流里完成过滤和统计。不要在流外保存大量 Path 再二次处理，否则失去惰性遍历的价值，也更难判断异常发生在哪个文件夹。

需要逐项恢复时，walkFileTree 更清楚

Files.walkFileTree(root, new SimpleFileVisitor() {
    @Override
    public FileVisitResult visitFileFailed(Path file, IOException ex) {
        log.warn("skip {}: {}", file, ex.toString());
        return FileVisitResult.CONTINUE;
    }
});

访问失败时返回 CONTINUE，表示跳过当前路径继续处理；如果文件夹属于租户隔离区或安全边界，应该返回 TERMINATE，并把失败文件夹交给人工复核。这个返回值本身就是清理策略的一部分。

符号链接和权限异常是两个不同问题

默认遍历不会跟随符号链接，这通常是批量清理的安全起点。打开 FOLLOW_LINKS 后，链接可能把遍历带到根目录之外，甚至形成循环；只有在链接目标已经被白名单约束、并且业务确实需要时才考虑它。

权限异常也不要简单吞掉。至少记录路径、异常类型和本轮任务标识；日志里有了 AccessDeniedException，下一轮才知道是权限配置、文件竞争还是目录本身已经消失。

一段可以落地验收的清理流程

1. 先确认根存储路径是绝对路径，并检查它属于允许的缓存文件夹。
2. 使用 Files.walk 时设置最大深度并用 try-with-resources 关闭流。
3. 删除前再次确认 Path 仍在根存储路径下，避免并发移动造成误删。
4. 对访问失败记录完整路径；按任务等级决定继续还是终止。
5. 统计扫描数、命中数、删除成功数和失败数，四个数字不一致时不要报成功。

验收时可以专门准备三类样本：普通文件、指向文件夹外的符号链接、无权限子文件夹。预期结果应该是普通文件按规则处理，链接不被意外展开，无权限文件夹留下清晰日志且不会伪装成已经清理完成。

常见问题与边界

Files.walk 会自动关闭吗？

不要依赖临时对象的回收时机。把返回的 Stream 放入 try-with-resources，才能保证正常结束和异常退出都能及时释放资源。

为什么不直接把 FOLLOW_LINKS 打开？

因为链接目标可能越出根存储路径，多个链接还可能形成环。除非目标范围有明确白名单和额外校验，否则默认不跟随更适合清理任务。

一个文件访问失败，应该让整批任务失败吗？

取决于任务目标。缓存清理通常可以记录后继续；合规归档或安全删除则更适合终止并告警，避免只完成了一部分却被标记为成功。

最后的选择

路径筛选、统计和小范围处理，用关闭边界明确的 Files.walk；逐文件夹控制、异常恢复和精确的链接策略，用 walkFileTree。真正上线前，把“是否跟随链接”“访问失败是否继续”“根存储路径是否越界”写成测试，而不是留给运维人员凭经验判断。