从 os.DirFS 切到 io/fs 后路径变相对了：WalkDir 输出如何安全交给外部工具

先说结论：io/fs.WalkDir 没有“真实绝对路径”可供读取。它回调里的 path 是文件系统接口统一使用的逻辑路径，始终采用斜杠；只有当你的程序自己知道这个 fs.FS 对应的物理根目录时，才可以把它转换成操作系统路径。embed.FS、fstest.MapFS 或远端文件系统本来就可能没有磁盘路径，不能硬拼。

先分清两种路径：WalkDir 为什么看起来变相对了

fs.FS 的设计目标是让同一套遍历代码适用于磁盘、嵌入资源和测试内存文件系统，所以路径规则与操作系统无关：UTF-8、斜杠分隔、不允许 ..，根目录用 . 表示。os.DirFS(root) 只是把 root 下的目录树包装成这个接口；当你从 WalkDir 的回调拿到 config/app.yaml 时，它表示“文件系统根下的名字”，不是“当前工作目录下的文件”。

因此，直接把回调参数传给外部程序，或者用 os.Getwd() 拼接，都是隐含假设。os.Getwd() 只代表进程当前目录，未必是创建 fsys 时的根目录；而一般的 fs.FS 也没有规定必须暴露底层路径。

根目录由调用方掌握时，按平台转换一次

最小可用写法是同时保存物理根目录与逻辑文件名。WalkDir 给出根目录下的相对名后，先将斜杠转换成当前平台的分隔符，再拼到已知根目录上：

type DiskTree struct {
	FS   fs.FS
	Root string // 创建 FS 时由调用方保存的物理根目录
}

func (t DiskTree) OSPath(name string) (string, error) {
	if !fs.ValidPath(name) {
		return "", fmt.Errorf("invalid fs path %q", name)
	}
	return filepath.Join(t.Root, filepath.FromSlash(name)), nil
}

func listForTool(tree DiskTree) error {
	return fs.WalkDir(tree.FS, ".", func(name string, entry fs.DirEntry, err error) error {
		if err != nil {
			return err
		}
		if entry.IsDir() {
			return nil
		}
		physical, err := tree.OSPath(name)
		if err != nil {
			return err
		}
		fmt.Println(physical) // 这里再交给外部工具
		return nil
	})
}

这里的关键不是“从 fs.FS 反查路径”，而是让创建者明确携带路径关系。若根目录可能是相对路径，创建 DiskTree 时就先用 filepath.Abs 固定成绝对路径，避免后续 Chdir 改变解释结果。path.Join 适合继续处理 fs 逻辑名；交给操作系统时使用 filepath。

不能反推时，保留逻辑路径而不是伪造绝对路径

如果函数只接收 fs.FS，它就不应该声称能返回真实 OS 路径。更稳妥的接口是返回逻辑名，或者把外部工具调用也抽象成接收字节流：

func readRegular(fsys fs.FS, name string) ([]byte, error) {
	info, err := fs.Stat(fsys, name)
	if err != nil {
		return nil, err
	}
	if !info.Mode().IsRegular() {
		return nil, fmt.Errorf("%s is not a regular file", name)
	}
	return fs.ReadFile(fsys, name)
}

这样同一段业务代码可以测试 fstest.MapFS，生产环境再换成 os.DirFS。如果外部工具只接受路径，就把“需要物理路径”作为能力要求放在更外层：由磁盘适配器调用它，嵌入文件适配器则走临时文件或标准输入。不要通过格式化输出、反射字段或类型断言猜测 os.DirFS 的内部结构。

最后检查 symlink 与根目录边界

WalkDir 默认不跟随目录中的符号链接，但这不等于 os.DirFS 是安全沙箱。官方文档明确说明，根目录里的链接仍可能指向树外位置；如果路径来自不可信内容，不要把简单的 filepath.Join 当成隔离机制。需要限制访问树时，应使用适合当前 Go 版本的根目录能力，并把安全边界放在文件系统适配层。

排障时可以按这张清单收尾：第一，确认回调参数是不是 fs 逻辑路径；第二，确认是否由同一对象保存了真实根目录；第三，确认外部工具是否真的需要路径而不是 stdin；第四，确认根目录是绝对路径且没有把链接安全性混为路径格式问题。

相关问题

为什么不能用 os.Getwd()？ 因为当前工作目录与 fs.FS 的根没有必然关系，尤其在服务启动后改变工作目录或传入相对根目录时。

filepath.FromSlash 在 Linux 上有必要吗？ 有必要保留。它表达了从 fs 统一路径到 OS 路径的边界，代码迁移到 Windows 时不需要改逻辑。

所有 fs.FS 都能得到绝对路径吗？ 不能。只有创建者另行掌握物理根目录，或底层系统明确提供这种能力时才可以；接口本身没有这个承诺。

参考：io/fs.WalkDir 官方文档、os.DirFS 官方文档。