Go filepath.Join 为什么没有清理用户输入路径

因为 filepath.Join 做的是路径的词法拼接和清理，不是“只允许访问某个目录”的安全策略。它会消掉重复分隔符、. 和可以回退的 ..，但不会替你拒绝恶意输入。把用户输入直接拼到下载、预览或文件读取目录后，结果仍可能离开预期根目录。

先把 Join 的清理和边界检查拆开

下面这个最小例子故意把“路径变干净”和“路径被授权”分成两件事。filepath.Join 的结果看起来很规整，但 ../secret.txt 仍然改变了根目录层级。

package main

import (
    "fmt"
    "path/filepath"
)

func main() {
    root := "/srv/files"
    userPath := "../secret.txt"

    // Join 只负责按当前操作系统规则拼接并做词法清理。
    result := filepath.Join(root, userPath)
    fmt.Println(result) // 结果会落到 /srv/secret.txt，不代表获得了访问授权。
}

因此，strings.HasPrefix(result, root) 也不是可靠补丁：根目录带尾部相似名称时会误判，符号链接还可能让实际对象跳到目录树之外。先明确输入规则，再选择约束方式。

Go 1.20+ 用 IsLocal 拒绝词法越界

如果业务只接受根目录下的相对文件名，可以把 IsLocal 作为进入 Join 前的门槛。它会拒绝空路径、绝对路径以及词法上会走出当前目录的路径；通过后再拼接，规则比事后比较字符串清楚。

func safePath(root, name string) (string, error) {
    // 先限制输入语义，再生成最终路径，避免把 Join 当成授权器。
    if !filepath.IsLocal(name) {
        return "", fmt.Errorf("path must stay local: %q", name)
    }
    return filepath.Join(root, name), nil
}

这个方案的边界要写进代码注释和接口文档：IsLocal 是纯词法判断，不会检查已经存在的符号链接。若目录里允许用户创建或替换链接，不能只靠它保护读取动作。

用 os.OpenInRoot 把打开动作绑定在根目录内

Go 1.24 新增的 os.OpenInRoot 适合直接打开不可信文件名。它基于 os.Root，当路径组件通过 .. 或符号链接指向根目录外时返回错误；应用不需要先拼出一个看似安全的绝对路径再打开。

func readUnderRoot(rootDir, name string) ([]byte, error) {
    // OpenInRoot 负责把 name 解析限制在 rootDir 内。
    file, err := os.OpenInRoot(rootDir, name)
    if err != nil {
        return nil, fmt.Errorf("open under root: %w", err)
    }
    defer file.Close() // 打开成功后仍要释放文件描述符。

    data, err := io.ReadAll(file)
    if err != nil {
        return nil, fmt.Errorf("read file: %w", err)
    }
    return data, nil
}

如果项目还不能使用 Go 1.24，可用 IsLocal 先收窄输入，并结合目录权限、符号链接策略和平台测试；不要把“先 EvalSymlinks 再 Open”当成无竞态的通用替代，它仍可能受到检查与打开之间文件状态变化的影响。

用输入矩阵验证修复是否真的生效

不要只测一个 ../。至少覆盖四种输入，并把“允许读取”和“明确拒绝”作为断言结果：

以 4 类输入各覆盖正常、空值和边界变体作为最小测试矩阵，比单看返回字符串更接近真实风险。最终的文件打开、读取或写入动作应由同一个根目录约束 API 完成。

常见问题

filepath.Join 会自动阻止目录穿越吗？

不会。它会清理路径文本，但不负责授权；.. 可能把结果带到根目录之外。

IsLocal 能解决符号链接问题吗？

不能。它只做词法分析；存在外指符号链接时，应使用 os.OpenInRoot 等带根目录语义的文件 API。

为什么不直接用 strings.HasPrefix？

字符串前缀不理解路径边界，也不反映符号链接解析后的真实位置，容易出现误放行。

记住一句话：Join 负责把路径写得规范，安全打开则必须由输入约束和根目录文件 API 共同完成。