Go os.CreateTemp生成隔离临时文件并安全落盘的做法

把配置、缓存或导出结果直接写入正式文件，最容易留下一个半成品：进程写到一半被终止，下一次读取就拿到了截断内容。更稳妥的做法是让 os.CreateTemp 在目标文件所在目录创建随机临时文件，写完并同步后关闭，再用 os.Rename 切换到正式路径。这样读者通常只会看到旧版本或完整新版本，而不会看到中间状态。

关键不是“先写临时文件”这一个 API，而是临时文件必须和目标文件同目录、写入错误必须中止、关闭成功后才能替换，并且要明确 Windows 与跨文件系统的边界。

官方文档：https://pkg.go.dev/os

把临时文件放到目标文件同一目录

os.CreateTemp 的第一个参数是目录，第二个参数是命名模式。模式中的最后一个 * 会被随机字符串替换，多个 goroutine 同时调用也不会选择同一个文件。更重要的是，目录要使用目标文件的父目录，而不是随手使用 os.TempDir()：后续重命名才能留在同一文件系统内，避免因为跨盘而失败。

它创建的是读写文件，默认权限为 0600（还会受到 umask 影响）。这适合临时落盘的中间内容，但目标目录本身仍要限制访问，不能把“文件权限收紧”当成目录权限控制的替代品。

写入、同步、关闭后再切换正式路径

下面的函数把“生成临时文件、完整写入、同步、关闭、替换、失败清理”放在一个边界内。示例使用 []byte，如果数据来自编码器或网络流，也应把每一次写入错误传递出来，不要用一个忽略错误的 io.Copy 或 Write 结束流程。

package main

import (
    "fmt"
    "os"
    "path/filepath"
)

func atomicWrite(target string, data []byte) (err error) {
    dir := filepath.Dir(target)
    // 临时文件和目标放在同一目录，Rename 才不会跨文件系统。
    f, err := os.CreateTemp(dir, ".settings-*.tmp")
    if err != nil {
        return fmt.Errorf("create temp file: %w", err)
    }
    tempName := f.Name()
    // 任意失败路径都删除残留文件；成功 Rename 后删除会得到路径不存在。
    defer func() {
        if removeErr := os.Remove(tempName); err == nil && removeErr != nil {
            err = fmt.Errorf("cleanup temp file: %w", removeErr)
        }
    }()

    if _, err = f.Write(data); err != nil {
        _ = f.Close() // 写失败时也要尽量释放文件句柄。
        return fmt.Errorf("write temp file: %w", err)
    }
    // Sync 只负责把文件内容提交给操作系统，不等于目录项已经持久化。
    if err = f.Sync(); err != nil {
        _ = f.Close()
        return fmt.Errorf("sync temp file: %w", err)
    }
    // 关闭成功是替换前的必要检查，避免把未完成的句柄交给 Rename。
    if err = f.Close(); err != nil {
        return fmt.Errorf("close temp file: %w", err)
    }
    // 同一文件系统内，替换动作不会把半写内容暴露给读取方。
    if err = os.Rename(tempName, target); err != nil {
        return fmt.Errorf("replace target: %w", err)
    }
    return nil
}

真实项目中还要检查目标目录是否存在、是否有写权限，并限制 target 不被外部输入拼接到任意目录。若写入过程会被多个进程同时触发，临时文件名虽然不会冲突，但“谁最后替换”仍需要业务锁、版本号或比较校验来决定。

用清单判断这次落盘是否真的安全

“原子”主要描述观察者看到的切换，不代表数据一定已经穿过磁盘断电保护。需要更强持久性时，要把文件 Sync 与目录项持久化、文件系统和部署平台一起评估；只在同目录内调用 Rename 并不能自动解决这些问题。

常见问题

为什么不直接用 os.Create 写目标文件？

os.Create 会直接创建或截断正式文件，进程中断时读者可能读到半截内容。临时文件方案把失败隔离在新路径中。

临时文件可以放到系统临时目录吗？

可以，但不适合随后用 Rename 替换任意目录中的目标；系统临时目录可能与目标不在同一文件系统，且清理策略更难统一。

Rename 前需要先删除旧文件吗？

不要把“先删除再重命名”当成通用原子替换方案，因为中间会出现目标不存在的窗口。Unix 环境通常支持同文件系统替换；Windows 目标已存在时要按部署平台设计可回退的替换策略。

落地时可以先把目标目录、写入错误、清理残留和并发替换写成测试，再根据运行平台决定是否增加目录同步或版本化文件名。这样 CreateTemp 才是完整落盘方案的一部分，而不是孤立的临时文件调用。