根本区别在于path.Join处理纯字符串路径（不关心操作系统），filepath.Join按当前系统规则处理路径分隔符；跨平台文件I/O必须用filepath.Join，URL拼接才用path.Join。
path.Join 和 filepath.Join 的区别在哪
根本区别在于：前者处理纯字符串路径（不关心操作系统），后者按当前系统规则处理（比如 Windows 用 \，Linux/macOS 用 /）。如果你写的是跨平台程序，必须用 filepath.Join；如果只是拼接 URL 或 HTTP 路径字符串（如 "https://api.com/v1/" + id），才考虑 path.Join。
常见错误是混用——比如在 Windows 上用 path.Join("C:", "foo", "bar") 得到 C:/foo/bar，看似正常，但实际生成的是类 Unix 路径，后续传给 os.Open 可能失败；而 filepath.Join("C:", "foo", "bar") 在 Windows 下返回 C:\foo\bar，这才是合法的本地文件路径。
-
path.Join适合：HTTP 路径、URL 拼接、配置项中的逻辑路径（如日志目录名"log/" + date） -
filepath.Join适合：所有需要调用os.Open、ioutil.ReadFile、os.Stat等系统 I/O 函数的场景 - 两者都不做路径标准化（比如不会把
"a/../b"化简），需要时得额外调用filepath.Clean
filepath.Clean 的真实作用和常见误用
filepath.Clean 不是“美化路径”，而是标准化路径语义：合并重复分隔符、解析 . 和 ..、移除末尾分隔符（除非是根目录）。但它**不检查路径是否存在，也不访问文件系统**。
容易踩的坑是以为它能“修复错误路径”。比如 filepath.Clean("a//b/./c/../d") → "a/b/d"，没问题；但 filepath.Clean("../../../etc/passwd") → "../../etc/passwd"（没越界就原样保留），这在 Web 服务中若直接用于文件读取，就是典型的路径遍历漏洞。
- 永远不要依赖
Clean来做安全过滤，需配合白名单或filepath.Abs+ 根目录比对 - 在构建临时路径或日志路径时，
Clean能避免"logs///2025//06//error.log"这种冗余写法 - 注意：
Clean对 Windows 驱动器路径敏感，filepath.Clean("C:\\a\\..\\b")→"C:\\b"，不是"b"
如何安全地从用户输入构造本地文件路径
核心原则：绝不直接拼接用户输入到路径中。哪怕用了 filepath.Join 和 Clean，也不能防止 ../ 逃逸。
正确做法是先获取绝对路径，再判断是否落在允许的根目录下：
rootDir := "/var/www/uploads"
userPath := r.URL.Query().Get("file") // 如 "img/../config.json"
absPath, err := filepath.Abs(filepath.Join(rootDir, userPath))
if err != nil {
http.Error(w, "invalid path", http.StatusBadRequest)
return
}
if !strings.HasPrefix(absPath, filepath.Clean(rootDir)+string(os.PathSeparator)) {
http.Error(w, "access denied", http.StatusForbidden)
return
}
// 此时 absPath 是安全的，可 os.Open
-
filepath.Abs会将相对路径转为绝对路径，是比对的前提 - 必须用
filepath.Clean(rootDir)再拼接分隔符，否则在 Windows 下"C:\data"和"C:\data\"比对会失败 - 不要用
strings.Contains或正则匹配".."—— 绕过方式太多（如"%2e%2e"、"....//"）
filepath.Base、filepath.Dir 和 filepath.Ext 的边界行为
这三个函数看似简单，但对特殊路径的处理容易引发逻辑 bug：
-
filepath.Base("")返回"."，不是空字符串；filepath.Base("/")返回""（空字符串） -
filepath.Dir("/a/b")→"/a"，但filepath.Dir("/a")→"/"，filepath.Dir("→
/")"/"（不会变成"."） -
filepath.Ext("archive.tar.gz")→".gz"（只取最后一个点之后），不是".tar.gz"；要获取完整后缀需手动处理 - 所有函数都基于
filepath.Separator切分，因此filepath.Base("C:\\foo\\bar.txt")在 Windows 下返回"bar.txt"，但在 Linux 下（Separator == '/'）会返回整个字符串
/")所以跨平台代码中，不要假设 Base 总是返回文件名——先用 filepath.FromSlash 或 filepath.ToSlash 统一格式，再处理。
