Go url.URL.JoinPath 处理路径时为什么会改变斜杠：清理规则与路由边界

线上服务把租户前缀和资源路径拼在一起时，最容易踩到的坑不是少一个斜杠，而是把斜杠当成了普通字符。Go 的 url.URL.JoinPath 会清理 ./、../，把连续的 / 合并成一个；如果路径片段里本来就有业务含义上的斜杠，还要先用 url.PathEscape 处理。

JoinPath 适合组合 URL 路径，不适合未经转义的任意字符串拼接。它返回新 URL，不修改原对象；路径片段必须已经是 escaped form。

为什么 JoinPath 会把多余斜杠收掉

先看一个最小例子。这里的 base 已经解析成 URL，后面的两个参数只是路径元素：

package main

import (
    "fmt"
    "log"
    "net/url"
)

func main() {
    u, err := url.Parse("https://example.com/api/")
    if err != nil {
        log.Fatal(err)
    }

    joined := u.JoinPath("v1//users", "./42")
    fmt.Println(joined.String())
    fmt.Println(u.Path)
}

输出的关键不是字符串拼接结果，而是清理后的路径结构：https://example.com/api/v1/users/42。原来的 u.Path 仍然是 /api/，因为 JoinPath 最终操作的是副本。

源码里的真实路径：EscapedPath、path.Join 与 setPath

Go 源码中的内部方法先把现有 URL 的 EscapedPath() 和新元素放入同一个切片，然后调用标准库 path.Join。因此连续斜杠会被折叠，./ 和 ../ 会按路径规则处理。之后它调用 setPath，把清理后的路径重新写回副本。

这条调用链解释了一个常见误判：JoinPath("a/b", "c/d") 中的 c/d 是两个路径层级，不是名为“c/d”的单个资源名。想让斜杠留在一个段里，先转义：

package main

import (
    "fmt"
    "net/url"
)

func main() {
    u, _ := url.Parse("https://example.com/files")
    name := url.PathEscape("reports/2026.csv")
    fmt.Println(name)
    fmt.Println(u.JoinPath(name).String())
}

这里的 PathEscape 把资源名中的斜杠编码为路径段内字符，JoinPath 再负责组合路径。两个职责不要混在一起。

三个边界决定它是否适合你的路由

如果你的路由框架把“目录”和“资源”区分开，尾斜杠需要单独写测试。path.Join 默认会移除尾斜杠，而 URL.JoinPath 在最后一个元素带斜杠时会补回一个，这个细节来自 joinPath 的尾部判断。

相对 URL 与 ../：清理不是权限校验

对相对 URL 调用 JoinPath 时，源码会临时在首段前补一个 /，完成清理后再去掉它。这样可以保持结果为相对路径，同时避免结果里继续出现可向上穿越的 ../ 片段。

但这不等于文件系统或 Web 路由的安全校验。用户输入仍然需要做长度、字符集、资源权限和最终路由匹配检查；JoinPath 只是 URL 路径规范化工具，不能替代授权判断。

常见问题

JoinPath 会修改原来的 URL 吗？

不会。它返回一个新的 URL，原对象可以继续用于另一个路径分支。

为什么 JoinPath 后路径里的双斜杠没了？

因为内部使用 path.Join 清理路径，连续斜杠会合并为一个。

资源名包含斜杠时应该怎么办？

把资源名作为一个路径段处理，先调用 url.PathEscape，再传给 JoinPath。

JoinPath 能防止目录穿越吗？

它会清理点段，但不能判断用户是否有权访问目标资源，安全控制仍需在业务层完成。

把规则落到代码评审清单

• 确认传给 JoinPath 的每个元素是路径段还是完整路径。
• 名称字段含有 /、空格或特殊字符时，检查是否先做了 PathEscape。
• 对相对 URL、尾斜杠和 ../ 输入各写一个断言。
• 把 URL 规范化和权限校验分开，别把清理结果当成授权结果。

记住这条分工就够了：PathEscape 保护单个路径段，JoinPath 组合并清理路径，业务代码负责确认这个最终路径是否允许被访问。