Go embed.FS 怎么只暴露指定子目录

把静态资源编进 Go 二进制后，最容易留下一个小问题：embed.FS 里同时有 web、templates 和测试素材，HTTP 服务却只应该看到其中一个目录。直接把完整的 FS 交给调用方，路径会变长，也容易把不该暴露的资源带进访问边界。

做法是先用 //go:embed 收集资源，再用 io/fs 的 fs.Sub 生成子树视图。之后的 http.FileServer 或 template.ParseFS 都只接收这个裁剪后的 fs.FS，例如读取 index.html，而不是读取 web/index.html。

把 embed.FS 的根目录切成应用自己的资源根

先假设目录如下：

web/index.html
web/assets/app.css
templates/layout.tmpl

目录模式会递归嵌入匹配到的文件，形成以源码包为根的只读文件树。随后把 web 传给 fs.Sub：

package main

import (
    "embed"
    "fmt"
    "io/fs"
)

// content 保存完整资源树；模式相对当前 Go 源码包。
//go:embed web templates
var content embed.FS

func webFS() (fs.FS, error) {
    // 把 web 变成新的根，调用方不再需要拼接 web/ 前缀。
    sub, err := fs.Sub(content, "web")
    if err != nil {
        return nil, fmt.Errorf("切出 web 资源根: %w", err)
    }
    return sub, nil
}

此时 sub.Open("index.html") 对应原树里的 web/index.html，而 sub.Open("templates/layout.tmpl") 不会越过这个边界去读取兄弟目录。这里的“只暴露”是文件系统视图层面的约束：完整数据仍由程序嵌入，但传给下游的接口只从指定子树开始。

路径写法决定了裁剪是否成功

fs.Sub 的第二个参数是 FS 路径，不是操作系统绝对路径。它应该写成 web，不要写 /web、web/ 或包含 .. 的路径；io/fs 使用无根、斜杠分隔的路径。还要注意，fs.Sub 本身不会提前确认目录存在，所以初始化时就检查错误最稳妥。

如果目录名称拼错，问题可能在真正打开文件时才暴露。因此可以在应用启动时对关键入口做一次 fs.Stat 检查，把资源打包错误变成明确的启动错误：

func checkEntry(fsys fs.FS) error {
    // 用相对根路径检查入口文件，避免把 web/ 再拼进去。
    info, err := fs.Stat(fsys, "index.html")
    if err != nil {
        return fmt.Errorf("检查嵌入入口: %w", err)
    }
    if info.IsDir() {
        return fmt.Errorf("index.html 实际是目录")
    }
    return nil
}

把裁剪后的文件系统接给 HTTP 或模板

裁剪后的值仍然满足 fs.FS，所以不需要为 HTTP 或模板再写一套适配器。静态文件服务可以通过 http.FS 接入，模板则直接使用 template.ParseFS。两条链路都从同一个资源根出发：

func routes(fsys fs.FS) (http.Handler, error) {
    // http.FS 把 io/fs 的斜杠路径转换给 FileServer 使用。
    handler := http.FileServer(http.FS(fsys))

    // 模板同样只看到裁剪后的目录，路径从 layout.tmpl 开始。
    tmpl, err := template.ParseFS(fsys, "layout.tmpl")
    if err != nil {
        return nil, fmt.Errorf("解析嵌入模板: %w", err)
    }
    _ = tmpl
    return handler, nil
}

实际项目里可以把 web 和 templates 分别裁剪成两个 FS，再把对应 FS 交给各自消费者。不要为了省一个变量，把包含模板、测试数据和公开静态文件的完整 embed.FS 到处传递。分界在初始化处完成，后续函数签名只需要表达它依赖一个 fs.FS。

常见问题

fs.Sub 会复制或解压嵌入文件吗？

不会。它返回一个对应子树的 FS 视图，读取时把相对路径映射到原 FS 的指定目录。

为什么 fs.Sub 成功了，打开文件仍然报不存在？

因为它不检查目录当前是否存在，或者你把原目录前缀又拼了一遍。裁剪后应读取 index.html，不要读取 web/index.html。

fs.Sub 能当作操作系统级安全沙箱吗？

对于 embed.FS，它适合限制下游代码的文件系统视图；但 fs.Sub 本身不是通用的 chroot 机制。涉及宿主机目录时，还要按 os.DirFS 和 os.Root 的语义单独评估。