Go 问答：os.Root 打开用户路径时如何挡住符号链接穿越

下载接口如果把用户传来的文件名直接拼到存储目录后面，真正危险的往往不是字符串里的 ../，而是目录里已经存在、却指向目录外的符号链接。Go 1.24 的 os.Root 可以把打开动作限制在一个根目录内：.. 和越出根目录的符号链接都会被拒绝。

结论先说清：需要读取不可信相对路径时，用 os.OpenRoot 打开可信目录，再调用 root.Open；不要把 filepath.Join 的结果直接交给 os.Open。不过它解决的是目录边界，不是文件权限、挂载点或业务授权。

问题从一个下载接口开始

假设服务把上传文件放在 /srv/app/uploads，请求参数 name 只允许表示其中一个文件。最容易写出的版本是把目录和参数拼起来：

func openOld(base, name string) (*os.File, error) {
    path := filepath.Join(base, name)
    return os.Open(path)
}

它对字面量 ../secret.txt 确实可能表现出危险，但更难排查的是：uploads 内有一个 latest 符号链接，链接目标在 ../private。字符串检查没有改变文件系统的解析结果，os.Open 仍可能跟随这条链接。

先把危险路径放进测试

先写一个临时目录，把根内文件和根外文件分开，再建立一个从根内指向根外的链接。这个测试不依赖固定机器路径，失败时也能准确说明是哪个边界被放过了。

func TestOpenOldFollowsEscape(t *testing.T) {
    parent := t.TempDir()
    base := filepath.Join(parent, "uploads")
    outside := filepath.Join(parent, "private.txt")
    if err := os.Mkdir(base, 0o755); err != nil { t.Fatal(err) }
    if err := os.WriteFile(outside, []byte("private"), 0o600); err != nil { t.Fatal(err) }
    if err := os.Symlink(outside, filepath.Join(base, "latest")); err != nil { t.Fatal(err) }

    f, err := openOld(base, "latest")
    if err != nil { t.Fatal(err) }
    defer f.Close()
    got, err := io.ReadAll(f)
    if err != nil { t.Fatal(err) }
    if string(got) != "private" { t.Fatalf("got %q", got) }
}

这里的成功不是好消息，它证明旧实现确实跟随了根外链接。若你的业务允许根内的符号链接，这个测试还能帮助你把“根内可跟随、根外必须拒绝”的边界写得更明确。

用 Root 把路径解析限制在目录树内

改造时先打开可信的上传目录，得到一个 *os.Root。之后所有相对文件名都交给 root.Open，不要再把根目录重新拼回字符串。

func openSafe(base, name string) (*os.File, error) {
    root, err := os.OpenRoot(base)
    if err != nil {
        return nil, err
    }
    defer root.Close()
    return root.Open(name)
}

root.Open("latest") 会检查路径解析过程；如果链接指向根外，就返回错误，文件不会被打开。根内的普通相对路径和不越界的相对组件仍然可以工作。

为什么要 defer root.Close

os.OpenRoot 在多数平台会持有目录文件描述符或句柄。把 root.Close 放在成功创建后立即 defer，能让一次读取请求在返回时收拢资源；不要把每次请求创建的 Root 留在长生命周期缓存里。

它挡住了什么，没挡住什么

Root 方法不允许文件名通过 .. 或绝对符号链接跑出根目录，根内符号链接只要最终仍在根目录中就可以解析。这是目录范围的约束，不等于“调用者一定有权限读取文件”。

官方文档还特别列出几个边界：Root 不限制文件系统挂载点、Linux bind mount、/proc 等特殊文件或 Unix 设备文件；在 Unix 上，Chmod、Chown、Chtimes 还有竞态注意事项。本文的下载读取场景用的是 Open，不能把这些限制省略成一句“完全安全”。

上线前的验收清单

• 正常文件：根内文件可以打开并读到预期内容。
• 字面路径：../private.txt 和绝对路径都应失败。
• 链接边界：根内链接可以按业务决定是否允许，根外链接必须失败。
• 业务边界：在调用 root.Open 前仍检查当前用户是否有权访问这条业务记录。
• 版本边界：代码依赖 Go 1.24 或更高版本；旧版本不能只改 import 就假装拥有同样 API。

常见问题

os.Root 能替代 chmod 和 ACL 吗？

不能。它限制的是路径解析范围，Unix 权限、ACL、容器权限和业务授权仍按原有模型生效。

根目录被重命名后 Root 还指向哪里？

在多数使用目录句柄的平台上，Root 追踪的是原来的目录对象，而不是每次重新解析一个同名路径；具体行为仍应结合目标操作系统验收。

项目必须支持 Go 1.23 怎么办？

不能调用 os.OpenRoot。应先升级运行时，或采用经过安全评审、能正确处理符号链接和竞态的目录约束方案，不要把字符串前缀检查当成等价替代。

小结

这类问题的关键不在于把路径字符串“洗干净”，而在于让文件系统按一个明确的目录根解析不可信文件名。os.OpenRoot 加 root.Open 给出了清晰的边界，也提醒我们把路径安全、权限控制和业务授权分开验收。