Go os.Root RemoveAll 的受限目录递归清理方案

清理工作区临时目录时，最容易出问题的不是递归删除本身，而是删除范围。Go 1.25 的 os.Root.RemoveAll 可以把递归删除放进已经打开的根目录树内：先用 os.OpenRoot 固定工作区，再把 cache/job-42 这样的根内相对路径交给 Root。这样代码不需要把用户输入拼接成宿主机绝对路径。

官方文档：https://pkg.go.dev/os#Root.RemoveAll

先把删除范围固定在 Root 内

os.OpenRoot 打开一个目录并返回 *os.Root。Root 的方法只访问根目录树之下的文件和目录，传入的名称可以是根内相对路径；如果路径组件指向根外位置，方法会返回错误。删除任务因此应把“根目录”与“待清理对象”拆成两个参数，而不是直接拼接字符串。

下面的封装只接受一个明确的子目录。示例中的 fs.ValidPath 是应用层的第一道筛选，RemoveAll 才负责真正的递归删除：

package main

import (
	"errors"
	"fmt"
	"io/fs"
	"os"
)

func cleanWorkspace(rootDir, target string) error {
	// 先固定工作区根目录，后续 Root 方法不再依赖当前工作目录。
	root, err := os.OpenRoot(rootDir)
	if err != nil {
		return fmt.Errorf("打开清理根目录 %q: %w", rootDir, err)
	}
	defer func() {
		// 关闭 Root 释放目录句柄；这里不覆盖前面的删除错误。
		_ = root.Close()
	}()

	// 点路径代表根目录本身，普通清理任务应明确拒绝它。
	if target == "." || target == "" {
		return errors.New("清理目标不能是根目录或空路径")
	}
	// ValidPath 拒绝绝对路径、.. 和重复分隔符等非根内路径。
	if !fs.ValidPath(target) {
		return fmt.Errorf("清理目标不是有效的根内路径: %q", target)
	}
	// RemoveAll 递归删除 target 及其子项，范围仍受 root 约束。
	if err := root.RemoveAll(target); err != nil {
		return fmt.Errorf("删除根内目标 %q: %w", target, err)
	}
	return nil
}

func main() {
	// 业务代码只传入固定根目录和明确的子目录名。
	if err := cleanWorkspace("/srv/workspace", "cache/job-42"); err != nil {
		fmt.Println(err)
	}
}

路径检查要先于删除调用

Root 能拒绝越过根目录的路径，但“API 能拒绝”不等于“业务输入可以直接放行”。例如 target == "." 在 Root 语义中表示根目录，若清理需求本来只针对缓存子目录，就应该在业务层主动拒绝。空字符串、以斜杠开头的绝对路径、包含 .. 的路径以及含有空路径段的字符串，也应在进入删除 API 前结束。

如果目标不存在，清理逻辑是否把它视为成功，应该由业务协议决定，并在调用方文档中写清。不要为了“看起来幂等”而吞掉所有错误：权限、损坏的目录项和文件系统 I/O 问题仍然需要返回。

错误处理和 Root 关闭要分层

打开根目录失败时，问题属于根目录本身；删除失败时，问题属于目标或文件系统；关闭失败则属于资源收尾。用 fmt.Errorf 加上操作名和路径，可以保留原始错误供 errors.Is 或日志系统继续判断。

示例用匿名 defer 关闭 Root，并刻意不覆盖删除错误。若业务必须感知关闭失败，可以改成命名返回值，在没有更早错误时返回 root.Close() 的错误；但不要在删除失败后用关闭结果覆盖真正的根因。

版本与平台边界清单

• 项目使用 Go 1.24 或更早版本时，不能直接依赖 Root.RemoveAll；需要升级工具链，或继续使用经过审查的旧清理实现。
• os.Root 在不同平台有实现差异，尤其是符号链接检查和目录重命名语义；目标平台应纳入兼容性测试。
• 不要把 Root 当作通用沙箱或权限系统；进程本身仍需要合适的操作系统权限，业务也应限制可传入的目标集合。

常见问题

Root.RemoveAll 和 os.RemoveAll 应该怎么选？

已有固定根目录并且目标是根内子路径时，优先考虑 Root.RemoveAll；需要处理任意宿主机路径时才讨论 os.RemoveAll，并额外承担路径拼接和范围控制责任。

为什么还要调用 fs.ValidPath？

Root 提供底层边界，ValidPath 让业务在调用前获得更早、更明确的输入反馈，还能把空段、点段和绝对路径排除在删除逻辑之外。

Root.Close 应该放在哪里？

成功打开 Root 后立即安排 defer Close。删除错误不能阻止收尾；如果关闭错误也有业务意义，再用命名返回值合并，而不是覆盖先发生的删除错误。