Go os.OpenFile 怎样原子创建不覆盖的临时文件

Go 用 os.OpenFile 创建指定名称且不覆盖已有文件时，应组合 os.O_WRONLY|os.O_CREATE|os.O_EXCL，并传入新文件权限，例如 0600。O_EXCL 与 O_CREATE 一起要求目标不存在；已存在时返回错误，调用方应保留已有文件，不要先删除再重试。

这里的“原子”针对不存在检查与创建这一动作，不意味着后续内容写入、关闭或任务发布也成为一个原子事务。若只需要随机名称的临时文件，通常优先使用 os.CreateTemp。

官方文档：https://pkg.go.dev/os#OpenFile。本文讨论已有受控工作目录内的普通文件创建，示例代码未在这里运行。

最小写法：把不存在检查交给独占创建

一个导出任务准备使用 job-stage.tmp 保存临时内容。若先 Stat 判断不存在，再调用 Create，两次操作之间另一个任务仍可能创建同名文件；后面的 Create 就可能截断它。独占创建将“仅在不存在时创建”的要求交给同一次打开调用，避免这段应用层检查间隙。

三个标志各有职责：O_WRONLY 选择只写访问；O_CREATE 允许创建；O_EXCL 限制必须是新建。它们通过按位或组合。不要把 O_EXCL 当成脱离 O_CREATE 的通用锁，也不需要为这个新文件额外添加 O_TRUNC。

比较 OpenFile、Create 和 CreateTemp

选择点主要在命名约束。job-stage.tmp 是为了展示“固定名称冲突应停止”的情况，不是建议所有临时文件都使用固定名字。如果每个任务只需要一份独立草稿，让 CreateTemp 负责生成名称更直接；创建后通过 Name 获取路径，由调用方负责在不用时清理。

时间戳或进程编号可以参与命名，但不能替代独占创建。即使认为名字足够独特，也应由创建操作处理最终冲突。否则命名策略稍有变化，就可能重新引入覆盖行为。

写入并关闭自己创建的文件

下面是一份独立 main.go 示例，使用 Go 1.20 起提供的 errors.Join 汇总写入、关闭和删除错误。运行前应选用自己控制的工作目录；只有成功创建文件的调用才注册清理，创建失败不会移除同名文件。

package main

import (
    "errors"
    "fmt"
    "io/fs"
    "os"
)

// run 使用调用方控制的工作目录；示例文件仅供本次任务临时使用。
func run() (retErr error) {
    name := "job-stage.tmp"
    f, err := os.OpenFile(name, os.O_WRONLY|os.O_CREATE|os.O_EXCL, 0600)
    if err != nil {
        if errors.Is(err, fs.ErrExist) {
            return fmt.Errorf("工作文件已存在，请保留并确认归属: %w", err)
        }
        return fmt.Errorf("创建工作文件失败: %w", err)
    }

    // 只有成功独占创建的调用才注册清理；先关闭，再删除自己创建的文件。
    defer func() {
        retErr = errors.Join(retErr, f.Close(), os.Remove(name))
    }()

    if _, err := fmt.Fprintln(f, "temporary export data"); err != nil {
        return fmt.Errorf("写入临时内容失败: %w", err)
    }
    // 实际临时处理放在此处；示例不将这个文件发布成最终结果。
    return nil
}

func main() {
    if err := run(); err != nil {
        fmt.Fprintln(os.Stderr, err)
        os.Exit(1)
    }
}

示例是短生命周期临时文件：成功创建后写入，在 run 返回时关闭并删除。已有同名文件时走 ErrExist 分支，保持原文件；写入失败时，自己新建的临时文件仍由延迟清理处理。关闭和删除失败会并入返回错误，而不是悄悄丢失。

这段清理逻辑依赖“目录由本任务控制、其他参与者不删除或替换该路径”的前提。把示例直接放到任意不可信共享目录中，不能据此推导路径始终指向同一个对象。真实任务如果需要把文件交给后续流程，应改变生命周期管理，不要照搬函数结束就删除的策略。

若执行到写入阶段，文件名已经存在，别的进程也可能观察到尚未完成的内容。因此，“不覆盖旧文件”与“读者只看见完整新内容”是两个不同需求，本文这组标志只处理前者。

理解权限参数与目录边界

第三个参数 perm 用在新文件创建时。在 Unix 类环境中，0600 表达所有者可读写，并受进程 umask 影响；它不负责创建父目录，也不负责修改已有文件的权限。不同操作系统的权限模型有差异，不能把这个数值等同于所有平台上完整的访问控制策略。

本例的 job-stage.tmp 位于当前工作目录。若改成工作目录下的子路径，父目录应先存在，并具有相应访问权限；路径不存在、目录不可写等错误要原样区分，不能都当作文件重名处理。

fs.ErrExist 用 errors.Is 判断，可以穿透标准库路径错误的包装。除此之外的错误，如权限不足或父目录缺失，应保留上下文反馈。遇到重名立即删除已有路径，会破坏“保留其他任务文件”的初衷。

按用途选择并处理常见问题

去掉 O_EXCL，只留 O_CREATE 可以吗？

不能保留同样的“已有就失败”语义。O_CREATE 只表达允许创建，不表达必须新建；只是不添加 O_TRUNC，也不代表后续写入不会改动已有内容。

0600 会让文件自动成为临时文件吗？

不会。它是创建权限参数，既不设置自动删除，也不定义保留时间。临时性来自应用的生命周期约定。

创建成功后程序崩溃，会自动清理吗？

不能依赖。示例的 defer 适用于正常返回及常规栈展开，不是崩溃、强制终止或断电后的清理服务。遗留文件应由有归属信息的恢复策略处理，不能随意删除所有同名文件。

所有文件系统都能按同样方式理解原子性吗？

Go 标志最终依赖操作系统与文件系统实现。若目标是网络共享或特殊文件系统，应根据该环境的创建语义确定可用保证，不把普通本地目录的假设扩展成分布式锁承诺。

只需要随机临时文件时选择 CreateTemp；必须占用约定的新名称时，使用 OpenFile 的 O_CREATE 与 O_EXCL，并让成功创建者负责句柄和路径。这个选择能把覆盖行为从“名字是否碰巧唯一”变成明确的调用要求。

相关 API：https://pkg.go.dev/os#OpenFile、https://pkg.go.dev/os#CreateTemp；错误判断：https://pkg.go.dev/errors#Is。