Go url.JoinPath 如何控制用户路径

拼接 API 地址时，用户输入常常只是一个资源名，却可能带着斜杠、点号或百分号编码。url.JoinPath 能把 base 和路径元素组合起来，并清理 ./、../ 以及重复斜杠；但它不会替业务判断这个用户是否有权访问某个资源。要控制用户路径，关键是先把输入限制为一个逻辑路径段，再用 url.PathEscape 编码，最后交给 url.JoinPath 处理 URL 结构。

先分清 url.JoinPath 管什么

官方 net/url 文档把 JoinPath 定义为 URL 字符串拼接函数，参数名叫 elem 的路径元素必须已经处于 escaped form。它首先解析 base，再组合已有路径和元素，最后输出新的 URL 字符串；base 无法解析时，函数版会返回错误。

这和文件系统里的路径拼接不是一回事。../ 会参与 URL 路径清理，多个斜杠也会被规整，所以它不能单独证明“结果仍在某个业务目录下”。下面这张静态关系图适合用来记住职责边界：

用户路径要按一个逻辑段处理

如果业务字段是“用户编号”或“对象名”，通常希望它只占一个路径段。此时先校验原始值，再转义：

package main

import (
    "errors"
    "net/url"
    "strings"
)

func joinUserPath(base, raw string) (string, error) {
    // 这里的 raw 是一个逻辑资源名，不允许它主动扩展成多级路径。
    if raw == "" || len(raw) > 128 {
        return "", errors.New("资源名为空或过长")
    }
    // 反斜杠也一并拒绝，避免不同网关对路径分隔符的解释不一致。
    if strings.ContainsAny(raw, "/\\") || raw == "." || raw == ".." {
        return "", errors.New("资源名不能包含路径分隔符或点段")
    }
    // PathEscape 把资源名编码为一个路径元素，再交给 JoinPath 组合 URL。
    escaped := url.PathEscape(raw)
    return url.JoinPath(base, "objects", escaped)
}

这里的重点不是“把所有输入都 Escape 一遍”这么简单，而是先定义字段语义。若字段本来就是多级路径，就不能把它伪装成单段值；应拆成多个已验证的段，逐段做白名单和长度检查，再传给 JoinPath。例如用户输入 ../admin 时，直接作为元素会触发点段清理；先把它作为一个普通资源名编码，则斜杠不会再充当层级分隔符。

函数版和方法版不要混着用

base 是配置文件或请求参数时，优先使用函数版，因为它显式返回 error。如果程序已经拿到可信的 *url.URL，可以使用方法版；它返回一个新的 URL，不会把原对象直接改掉：

func appendObject(u *url.URL, raw string) *url.URL {
    // u 已在更早的配置加载阶段解析；这里仍只把 raw 当作一个路径段。
    return u.JoinPath("objects", url.PathEscape(raw))
}

方法版适合减少重复解析，但不能省略业务校验。尤其要注意，PathEscape 解决的是 URL 编码，不是权限控制；JoinPath 解决的是 URL 结构，也不是路径授权。

四个边界值值得放进检查清单

另外，查询参数不要拼进路径元素。路径段用 PathEscape，查询参数使用 url.Values；把两种编码规则混用，往往会让服务端看到与客户端不同的资源名。

上线前把路径策略和权限策略分开

生产代码可以按这四项复查：base URL 是否来自可信配置；用户字段是否明确是单段还是多段；原始值是否有字符集、长度和空值限制；最终资源是否经过租户、用户或对象权限判断。只有这四层都成立，拼出来的 URL 才能进入请求发送环节。

相关问题

url.JoinPath 会自动把用户输入转义吗？

不会。官方文档要求路径元素已经是 escaped form；原始单段值通常应先调用 url.PathEscape。

url.JoinPath 能防止路径穿越吗？

它会清理点段，但这不等于完成授权检查。是否允许访问目标资源，仍要由业务层根据身份和资源关系判断。

什么时候用 ResolveReference？

需要按照 URI 引用语义解析相对地址时考虑 ResolveReference；只是在既有 URL 后组合已定义的路径元素时，JoinPath 更直接。