Go os.Root.OpenRoot 如何限制相对路径：文件系统沙箱的错误边界

给插件或导入任务开放一个目录时，最容易出问题的不是“文件不存在”，而是用户传入的路径悄悄走出了工作目录。Go 1.24 的 os.Root 提供了一个更清晰的边界：先用 os.OpenRoot 打开根目录，再通过根对象的相对路径方法访问文件，路径穿越会在根对象内被拦住。

把不可信文件名交给 Root.Open，不要先用 filepath.Join 拼成绝对路径再调用全局 os.Open；前者的约束属于同一个文件系统根，后者没有这个边界。

先用一个目录看清 os.Root 的职责

假设程序准备读取 workspace/notes.txt，同时不允许读取 workspace 的上一级文件。核心代码只有三步：打开根、打开相对文件、关闭根。

package main

import (
    "fmt"
    "io"
    "os"
)

func readNote() error {
    root, err := os.OpenRoot("workspace")
    if err != nil {
        return err
    }
    defer root.Close()

    file, err := root.Open("notes.txt")
    if err != nil {
        return err
    }
    defer file.Close()

    body, err := io.ReadAll(file)
    if err != nil {
        return err
    }
    fmt.Println(string(body))
    return nil
}

这里的关键不是把字符串写成了相对形式，而是访问动作发生在 root.Open 上。OpenRoot 建立根对象，Root.Open 再把 notes.txt 解析为根内路径；读取成功后，file.Close 和 root.Close 分别释放文件与根对象。

Root.Open 为什么能挡住 ..

把用户输入替换成 ../outside.txt 后，调用链没有变，变化的是路径解析结果：Root.Open 发现请求要离开已经打开的根目录，就返回错误，实际可见状态可以概括为“拒绝访问”，而不是把它当成根目录外的普通文件名。

func readUserPath(name string) error {
    root, err := os.OpenRoot("workspace")
    if err != nil {
        return err
    }
    defer root.Close()

    file, err := root.Open(name)
    if err != nil {
        return fmt.Errorf("open %q: %w", name, err)
    }
    defer file.Close()
    return nil
}

// readUserPath("notes.txt")       -> 正常打开
// readUserPath("../outside.txt")  -> 返回路径边界错误

测试时不要只断言“返回了某一种字符串”。不同操作系统的错误包装可能不同，更稳妥的检查是：普通根内文件可以打开，带 .. 的越界路径不能得到一个指向根外的文件句柄。绝对路径也不应作为业务输入直接放行，应用层仍应先限制允许的文件名和扩展名。

把它接到真实导入任务里

实际程序通常还要做文件类型、大小和业务字段校验。目录边界解决的是“能不能走出这个目录”，并不替代内容校验。

1. 启动任务时只打开允许的工作目录，并检查 OpenRoot 返回的错误。
2. 把外部文件名传给 Root.Open，不要先调用全局 os.Open。
3. 读取后及时关闭文件，任务结束时关闭根对象；长驻进程不要为每个小文件遗留句柄。
4. 对扩展名、大小和内容格式单独校验，避免把可执行或超大文件当成普通导入数据。

这个分层很重要：os.Root 负责文件系统路径的范围，业务代码负责文件内容是否可接受。两层都通过后，导入任务才算真正完成。

常见问题

os.Root 是不是操作系统级沙箱？

不是。它约束的是通过该根对象进行的文件访问；进程仍可能通过其他接口访问别的资源，所以权限隔离仍要交给操作系统和部署环境。

为什么不能只用 filepath.Join？

拼接字符串不会自动提供根目录边界。若后续把拼好的结果交给全局文件 API，.. 或符号链接等情况仍需要额外处理。

读取一个文件后还需要关闭 Root 吗？

需要。文件句柄和根对象都应按创建顺序安排清理，通常用 defer file.Close() 与 defer root.Close() 保证错误返回时也能释放。

验收清单

先准备一个根内的 notes.txt 和一个根外的测试文件，再分别传入 notes.txt、../outside.txt 和绝对路径。前者应按预期读取，后两者不能绕过根目录约束；最后检查错误路径是否仍执行了 Close。这组小测试比只看一条“读取成功”日志更能证明边界真的生效。