Go os 怎样用 OpenFile 的权限位创建新文件

Go 用 os.OpenFile(name, flag, perm) 创建文件时，把 os.O_CREATE 放进 flag，并以八进制整数传入权限，例如 0600。只允许创建新文件、不接受覆盖时，再组合 os.O_EXCL。权限参数不是已有文件的改权限指令；在 Unix 上，请求权限还会受到进程 umask 等文件系统规则约束。

如果我要给小工具添加一个“生成项目说明”的功能，我会先决定文件能否覆盖，再决定谁能读取。把这两个选择拆开，比把一个 0666 原样带进所有场景更容易维护。下面是设计示例，不是个人线上事故复盘，代码未实际运行。

官方文档：https://pkg.go.dev/os#OpenFile

OpenFile 提供的是明确的创建约定

这不是一条新版本发布消息，而是标准库已有能力的实用落点。flag 说明怎样打开文件，perm 说明创建新文件时请求哪些权限。前者是访问和创建选项，后者是权限位，不能互相替代。

O_WRONLY 指当前句柄只写；O_CREATE 允许路径不存在时创建；O_EXCL 与 O_CREATE 配合要求文件事先不存在。父目录必须存在，而且当前进程必须具备相应目录访问能力。给文件传入较宽权限，不会替你补齐父目录或赋予目录访问权。

先用八进制表达谁可以读写

我会把权限写成 0600 或 0644，避免十进制 600 带来的歧义。每一位由读 4、写 2、执行 1 相加；三位依次代表所有者、所属组和其他用户。下面讨论普通 Unix 文件的九个权限位，不把权限位等同于完整访问控制策略。

这些是请求值，不是跨平台最终权限保证。普通文本文件通常不需要执行位；没有明确共享需求时，我倾向于先请求 0600，而不是为了“避免权限问题”设置 0777。

把只新建、写入与关闭错误放进同一个函数

将下面完整示例保存为 main.go，可由读者在独立的可信练习目录尝试。示例只创建固定名称的普通说明文件，不接受外部路径输入。它不执行 chmod，也不做覆盖更新。

package main

import (
    "errors"
    "fmt"
    "io"
    "io/fs"
    "os"
)

// createNote 只创建新文件，拒绝覆盖已有路径；目录必须提前准备好。
func createNote(path string) (err error) {
    f, err := os.OpenFile(path, os.O_WRONLY|os.O_CREATE|os.O_EXCL, 0600)
    if err != nil {
        return fmt.Errorf("创建文件: %w", err)
    }
    defer func() {
        // 即使写入成功，也不能丢掉关闭阶段的错误。
        if closeErr := f.Close(); err == nil && closeErr != nil {
            err = fmt.Errorf("关闭文件: %w", closeErr)
        }
    }()

    text := "项目说明\n"
    n, err := f.WriteString(text)
    if err != nil {
        return fmt.Errorf("写入文件: %w", err)
    }
    if n != len(text) {
        return io.ErrShortWrite
    }
    // 从已打开的句柄读取权限；这不是Windows ACL的完整表示。
    info, err := f.Stat()
    if err != nil {
        return fmt.Errorf("读取文件属性: %w", err)
    }
    fmt.Printf("权限位=%#o\n", info.Mode().Perm())
    return nil
}

func main() {
    // 请在可信、可写的练习目录运行，已有文件不会被覆盖。
    if err := createNote("project-note.txt"); err != nil {
        if errors.Is(err, fs.ErrExist) {
            fmt.Fprintln(os.Stderr, "文件已存在，未覆盖")
        } else {
            fmt.Fprintln(os.Stderr, err)
        }
        os.Exit(1)
    }
}

预期约定是：路径不存在且目录允许创建时，尝试创建并写入；路径已存在时，返回可供 errors.Is(err, fs.ErrExist) 判断的错误，不清空文件。程序打印的权限来自 f.Stat，而不是直接把 0600 当成已生效的结果。本例没有运行记录，不提供固定输出截图。

关闭使用命名返回值接收错误：没有前置错误时报告 Close 错误，已有写入或属性读取错误时保留原错误。写入失败仍可能留下新建的空文件或部分内容，本例不会自动删除；排查后由调用方决定保留还是清理。Close 成功也不等于应用已获得断电持久性保证。

与 Create 比，改变的不只是权限数字

os.Create 对不存在的文件使用 0666 作为创建模式，并以读写方式打开；已有文件会被截断。它适合明确允许重建内容的任务，但与“只创建一次，不能覆盖”不是同一契约。OpenFile 让这些选项显式可见，代价是调用方需要自行选对组合。

如果去掉 O_EXCL，仅保留 O_WRONLY 和 O_CREATE，已有文件可以被打开，perm 不会把它改成 0600；而没有 O_TRUNC、也没有 O_APPEND 时，从开头写入较短的新内容还可能保留旧尾部。不要把“允许创建”误读成“覆盖更新”或“权限收紧”。

确实需要修改已存在文件的权限，应该把它作为单独的 Chmod 任务，并处理错误与平台差异；本例不隐式执行。也不要先 Stat 判断不存在再决定创建，这个判断与创建之间可能发生变化，创建约束应由 O_CREATE 与 O_EXCL 的组合表达。

umask、已有模式和平台规则各管什么

在常见 Unix 权限模型中，可把没有额外 ACL 等规则时的创建权限理解为 请求权限 &^ umask：umask 清除权限，不会把请求中没有的位补上。例如请求 0666、umask 为 0022 时，九位权限计算得到 0644；请求 0600 时，同样的 umask 不会把它扩成 0644。这是条件下的计算示例，不是本机测量值。

不要为了单个文件在并发服务中随意切换进程级 umask；这可能影响同时发生的其他创建操作。权限需求必须精确到最终模式时，需要另行设计部署权限、ACL 和属性处理方案，而不是把一段示例中的权限常量看成保证。

Windows 不采用与 Unix 完全相同的三组 rwx 访问控制模型；Go 的 Chmod 文档说明，Windows 的模式设置主要使用所有者可写位控制只读属性，其他位不能当作 Unix 式权限隔离。不要据此承诺 0600 可以限制 Windows 上其他账号读取，实际访问控制应由平台 ACL 策略承担。

权限模型文档：https://pkg.go.dev/io/fs#FileMode

平台差异文档：https://pkg.go.dev/os#Chmod

为什么传了 0644，读到的值还是不同？

先区分这是新建文件还是打开已有文件。前者受 umask、文件系统及 ACL 等规则影响；后者的模式本来就不会由 perm 重设。属性观察可使用已打开句柄的 Stat 和 Mode().Perm()，它只返回九个 Unix 权限位的表示，不是完整 ACL。

0600 会不会让当前写入句柄不能写？

句柄的读写操作能力由打开标志决定，不应通过权限数字推断；O_RDONLY 打开的句柄不会因为 perm 中包含写位就变成可写。新建请求与当前打开方式是两个维度。

文件名来自用户输入时能直接套用吗？

不能。O_EXCL 表达排他创建，不是目录沙箱；不可信父路径、父目录替换或符号链接等问题需要额外的路径与目录访问设计。本例只针对可信目录下的固定文件名。

对“新文件必须由我明确选择初始权限，且不能误覆盖”的任务，我会使用 OpenFile 并显式写清三项打开标志。真正需要反复更新已有文件、跨账号共享或者跨平台访问控制时，则应重新定义任务契约，不只改一个权限数字。