Go os.Root.Open 如何限制相对路径：不跟随符号链接穿越文件根

下载接口把用户传来的文件名交给文件系统时，危险点不只是一串 ../。上传目录里如果已有一个指向外部目录的 latest 符号链接，filepath.Join 清理完字符串，os.Open 仍可能沿着链接打开根目录外的文件。Go 1.24 的 os.Root 把这次解析放进明确的目录边界里。

读取不可信相对路径时，先用 os.OpenRoot 打开可信目录，再让 root.Open 完成读取；不要把拼接后的绝对路径直接交给 os.Open。它解决的是路径越界，不替代业务授权、Unix 权限或挂载点治理。

触发信号：字符串检查通过，文件却打开到了目录外

假设服务把上传文件放在 /srv/app/uploads，请求参数 name 只允许表示一个下载对象。旧代码通常先拼路径：

func openOld(base, name string) (*os.File, error) {
    path := filepath.Join(base, name)
    return os.Open(path)
}

它对字面量 ../private.txt 很容易暴露问题，但更隐蔽的情况是：uploads/latest 是一个指向 ../private 的符号链接。这里的路径字符串看起来仍在 uploads 下，真正的落点却由文件系统继续解析。

快速判断：先用临时目录复现旧调用链

测试把根内文件和根外文件放在同一个临时父目录，再创建一条从根内指向根外的链接。旧调用链中的节点只有两个：filepath.Join 产生字符串，os.Open 负责跟随文件系统对象。

func TestOpenOldFollowsEscape(t *testing.T) {
    parent := t.TempDir()
    base := filepath.Join(parent, "uploads")
    outside := filepath.Join(parent, "private.txt")
    if err := os.Mkdir(base, 0o755); err != nil { t.Fatal(err) }
    if err := os.WriteFile(outside, []byte("private"), 0o600); err != nil { t.Fatal(err) }
    if err := os.Symlink(outside, filepath.Join(base, "latest")); err != nil { t.Fatal(err) }

    f, err := openOld(base, "latest")
    if err != nil { t.Fatal(err) }
    defer f.Close()
    got, err := io.ReadAll(f)
    if err != nil { t.Fatal(err) }
    if string(got) != "private" { t.Fatalf("got %q", got) }
}

这个测试“成功”恰好说明旧实现有问题：latest 最终读到了 private.txt。先把这个边界固定下来，后面的修复才不会被一个普通文件测试掩盖。

处理步骤：用 os.OpenRoot 和 root.Open 建立目录边界

Go 1.24 增加了 os.Root。打开可信上传目录后，把用户提供的相对文件名交给 root.Open，读取结束再关闭 Root：

func readSafe(base, name string) ([]byte, error) {
    root, err := os.OpenRoot(base)
    if err != nil {
        return nil, err
    }
    defer root.Close()

    f, err := root.Open(name)
    if err != nil {
        return nil, err
    }
    defer f.Close()
    return io.ReadAll(f)
}

此时解析路径的责任从“先拼一条绝对路径”变成“在 Root 内打开一个相对路径”。root.Open("latest") 如果发现符号链接指向根外，会返回错误；根内普通文件和不越界的相对组件仍可按业务需要使用。

为什么 root.Close 要紧跟在成功创建后

os.OpenRoot 会持有表示目录的文件描述符或句柄。创建成功后立即注册 defer root.Close()，能让单次读取在返回时收拢资源。不要因为 Root 能复用就把每个请求的对象无期限放进缓存；如果确实要长生命周期复用，应单独设计关闭时机和并发边界。

回滚与边界：Root 不是完整的权限模型

如果目标运行时还没有 Go 1.24，不能只把 os.Open 改个名字就获得同样的保护。短期回滚应保留旧接口并限制功能范围，优先升级运行时；不要把字符串前缀检查当成符号链接竞态的等价方案。

官方说明的边界也要写进验收记录：Root 主要防止通过 .. 和符号链接离开根目录，但不限制挂载点、Linux bind mount、/proc 或 Unix 设备文件。业务层仍要先检查当前用户是否有权访问这条下载记录，操作系统权限和容器隔离也照常生效。

告警确认：上线前的四组检查

• 普通文件：根内文件可以打开并读到预期内容。
• 字面路径：../private.txt 和绝对路径都应失败。
• 链接边界：根内链接按业务决定是否允许，根外链接必须失败。
• 资源收拢：每个成功的 os.OpenRoot 都有对应的 root.Close，打开的文件也有自己的 Close。

常见问题

os.Root 能替代 chmod 或 ACL 吗？

不能。它限制的是路径解析范围，Unix 权限、ACL、容器权限和业务授权仍按原有模型生效。

根内的符号链接一定会被拒绝吗？

不一定。只要解析后的目标仍在 Root 内，官方语义允许它继续工作；真正越过根目录的链接才是本篇要拦截的边界。

项目必须支持 Go 1.23 怎么办？

不能调用 os.OpenRoot。应评估升级运行时，或采用经过安全评审、能处理符号链接和竞态的目录约束方案。

小结：把“路径字符串”改成“根内解析”

这类问题的关键不是把路径文本洗得更复杂，而是让文件系统在一个明确的目录根内解析不可信文件名。os.OpenRoot 加 root.Open 给出了一条可测试的边界；剩下的权限、挂载点和业务授权，则继续按各自的安全模型验收。