Go os.WriteFile 写权限不足时如何保留原文件

如果 os.WriteFile 返回“permission denied”，先不要把重点放在第三个参数上。这个参数只在文件不存在、需要新建时参与设置权限；目标文件已经存在时，WriteFile 会按写入方式打开并先截断它。要在写入失败时保留旧内容，可靠做法是把新内容写到目标目录的临时文件，确认写完并关闭，再替换目标文件。

官方文档：https://pkg.go.dev/os#WriteFile

先看清 os.WriteFile 为什么会碰到原文件

os.WriteFile(name, data, perm) 的行为可以近似理解为 OpenFile(name, os.O_WRONLY|os.O_CREATE|os.O_TRUNC, perm)，然后写入数据并关闭文件。于是它有两个容易混淆的边界：

因此，“权限不足时如何保留原文件”不能只靠捕获错误。必须把不可逆的截断动作从原路径移开。

用 errors.Is 判断权限错误，不要比较错误字符串

Go 的文件错误通常带有操作名和路径，底层原因可能被包装在 *os.PathError 中。判断时优先使用标准错误值；这样即使错误增加了上下文，也不会因为字符串变化而失效。

package main

import (
    "errors"
    "fmt"
    "io/fs"
    "os"
)

func reportWriteError(path string, data []byte) {
    // 这里故意保留错误链，便于区分权限、父目录和路径类型问题。
    err := os.WriteFile(path, data, 0o640)
    if err == nil {
        fmt.Println("写入成功")
        return
    }

    var pathErr *os.PathError
    switch {
    case errors.Is(err, fs.ErrPermission):
        // 权限不足时不要重试原路径，先检查文件和父目录的权限。
        fmt.Printf("权限不足：op=%s path=%s\n", pathErrOp(err), path)
    case errors.Is(err, fs.ErrNotExist):
        // 父目录不存在时，修改文件 perm 也解决不了问题。
        fmt.Println("文件或父目录不存在")
    case errors.As(err, &pathErr):
        // 其他 PathError 仍保留底层操作名，方便定位路径问题。
        fmt.Printf("文件操作失败：op=%s path=%s err=%v\n", pathErr.Op, pathErr.Path, pathErr.Err)
    default:
        fmt.Printf("写入失败：%v\n", err)
    }
}

func pathErrOp(err error) string {
    // errors.As 兼容被 fmt.Errorf("...: %w") 包装过的 *os.PathError。
    var pathErr *os.PathError
    if errors.As(err, &pathErr) {
        return pathErr.Op
    }
    return "unknown"
}

func main() {
    reportWriteError("config.json", []byte(`{"enabled":true}`))
}

示例中的 pathErrOp 只是为了让权限分支也能打印底层操作名。生产代码还应记录绝对路径是否位于允许写入的目录、父目录是否存在，以及目标是否是符号链接或目录。不要把 perm 当成“强行提权”参数，进程本身没有写权限时它不会改变操作系统的判定。

用同目录临时文件保护原内容

下面的函数把临时文件放在目标文件所在目录。这样做是为了让最后的替换尽量发生在同一个文件系统内；如果临时文件创建、写入、同步或关闭失败，函数会先清理临时文件并返回，原文件没有被 WriteFile 截断。

package safewrite

import (
    "fmt"
    "os"
    "path/filepath"
)

func ReplaceFile(path string, data []byte, perm os.FileMode) (err error) {
    dir := filepath.Dir(path)
    tmp, err := os.CreateTemp(dir, ".safe-write-*")
    if err != nil {
        // 临时文件创建失败时还没有触碰目标文件，直接返回最安全。
        return fmt.Errorf("create temp file: %w", err)
    }
    tmpName := tmp.Name()
    defer func() {
        // 替换成功后临时文件已不存在，Remove 返回的错误无需覆盖主结果。
        _ = os.Remove(tmpName)
    }()

    if err = tmp.Chmod(perm); err != nil {
        _ = tmp.Close()
        return fmt.Errorf("set temp permission: %w", err)
    }
    if _, err = tmp.Write(data); err != nil {
        _ = tmp.Close()
        return fmt.Errorf("write temp file: %w", err)
    }
    if err = tmp.Sync(); err != nil {
        _ = tmp.Close()
        return fmt.Errorf("sync temp file: %w", err)
    }
    if err = tmp.Close(); err != nil {
        return fmt.Errorf("close temp file: %w", err)
    }
    if err = os.Rename(tmpName, path); err != nil {
        // Rename 失败时，目标路径仍指向原文件；不要先 Remove 原文件。
        return fmt.Errorf("replace file: %w", err)
    }
    return nil
}

这段代码把失败点集中在临时文件上。Sync 让已经写入的数据更早交给操作系统处理，但它不等于所有存储设备都已经完成持久化；是否还要同步父目录，要按目标平台和数据可靠性要求决定。

上线前检查三个容易漏掉的边界

• 父目录权限：替换通常需要目录的写入和执行权限；目标文件可写，不代表能创建临时文件或完成重命名。
• 跨平台替换：Unix 下同文件系统重命名常用于原子替换，但 Windows 对已存在目标、打开中的文件有不同限制，发布前要在目标平台验证。
• 并发写入：多个进程同时更新同一路径时，临时文件方案只能缩小半写风险，不能替代锁、版本号或最后写入者策略。

如果需求只是“新文件写不出来时不创建空文件”，直接调用 os.WriteFile 并检查错误通常够用；如果需求是“任何失败都不能破坏已有版本”，就应使用临时文件、关闭、替换和必要的同步流程。

常见问题

把 perm 改成 0o777 能解决权限不足吗？

不能。它只在创建新文件时提供初始权限，而且还会受到 umask 影响；已有文件的权限不会被 WriteFile 改写。

权限错误是不是一定发生在写入阶段？

不是。打开、创建、截断、写入和关闭都可能失败。用 errors.Is 和 *os.PathError 分层判断，不要只看错误文本。

为什么临时文件一定要放在目标目录？

为了尽量保证临时文件和目标文件位于同一文件系统，最后替换才能使用更可靠的重命名语义；放到系统临时目录可能遇到跨设备失败。