Go x/net/webdav.Dir 为什么不能把逻辑资源路径当系统路径

把 webdav.Dir 当成 URL 前缀，是这类服务最容易出现的路径错误。它的字符串值代表本机文件系统上的目录名；而 FileSystem 的方法参数才是 WebDAV 资源名，元素之间固定用 / 分隔。两者处在不同层，不能拿同一个字符串同时扮演“磁盘根目录”和“远程资源路径”。

官方地址：https://pkg.go.dev/golang.org/x/net/webdav#Dir

正确做法是：用 filepath.Join 组成本机目录后转换为 webdav.Dir；进入 OpenFile、Stat 等 FileSystem 方法时，只传以斜杠分隔的逻辑资源名。另一个必须单独评审的风险是，Dir 不会自动拦截目录内符号链接指向树外。

Dir 和 FileSystem 看到的路径不是一回事

Dir 的定义是“使用原生文件系统、限制在某个目录树内的 FileSystem”。因此它更像一个适配器的根配置，不是 HTTP URL，也不是客户端提交的资源名。相反，FileSystem.OpenFile、Stat、Rename 等方法的名字参数遵循 WebDAV 资源模型，路径元素用正斜杠连接，和宿主机的路径分隔符约定无关。

例如，/srv/share 可以是 Unix 上的 Dir 根；docs/readme.txt 是资源名。前者受 filepath.Separator 影响，后者按照 WebDAV 约定使用 /。如果把 docs/readme.txt 直接当成 Dir 的值，程序表达的就不再是“share 根下的 docs”，而是当前工作目录下一个名为 docs/readme.txt 的本机路径。

本机根目录用 filepath，资源名用斜杠

配置根目录时，让本机路径工具负责拼接；处理资源请求时，让 WebDAV 的 FileSystem 接口负责解释资源名。下面的代码只展示边界，不假设任何运行输出：

package main

import (
    "context"
    "os"
    "path/filepath"

    "golang.org/x/net/webdav"
)

func openResource(ctx context.Context) (webdav.File, error) {
    // 本机目录由 filepath.Join 组合，避免手写平台相关分隔符。
    root := filepath.Join("/srv", "share")
    fs := webdav.Dir(root)

    // 这里传的是 WebDAV 资源名，目录层级固定用 '/'.
    return fs.OpenFile(ctx, "docs/readme.txt", os.O_RDONLY, 0)
}

这段边界可以浓缩成一句话：webdav.Dir(root) 的 root 是部署配置，OpenFile(ctx, name, ...) 的 name 是协议资源。若你的业务还接收 URL 路径，应先由 Handler 的资源名语义进入 FileSystem，不要把请求字符串重新拼成一段本机绝对路径。

真正容易漏掉的是符号链接边界

官方文档明确说明，Dir 不会阻止其目录树内的符号链接，包括指向目录树外位置的链接；相对符号链接的目标还可能因目录移动而改变。这意味着“根目录写对了”不等于“所有可读目标都被根目录物理限制”。

因此，目录服务的设计至少要单独回答三个问题：部署目录是否允许创建符号链接；已有链接是否经过人工盘点；业务是否真的需要把本机目录直接暴露给 WebDAV。若要求物理隔离，不能只依赖 webdav.Dir 的构造，还要在文件系统布局、权限和部署策略上消除或审查链接风险。

把路径边界写进接入层约定

实际接入时可以按下面的顺序落地：

1. 启动配置只保存一个明确的本机根目录，并在进程权限层限制可访问范围。
2. HTTP 入口使用 webdav.Handler 解释资源名；业务日志同时记录资源名和操作类型，不记录未经处理的本机拼接路径。
3. 对写入、重命名和删除能力做最小化授权；只读目录不要为了方便开启修改方法。
4. 把符号链接检查列入部署清单。需要强隔离时，优先使用不包含树外链接的专用目录，或改用能表达更严格约束的 FileSystem 实现。

func newHandler(root string, readOnly bool) http.Handler {
    // root 是服务配置，不接收客户端提交的 URL 直接覆盖。
    fs := webdav.Dir(root)
    handler := &webdav.Handler{FileSystem: fs}

    // 只读策略应在授权层落实；这里不把“路径看起来安全”当成权限判断。
    _ = readOnly
    return handler
}

最后再检查一遍：资源名用 /，本机路径用 filepath；Dir 解决的是 FileSystem 适配，不是符号链接沙箱；认证、权限和目录布局仍然属于服务端的责任。

相关问题

问：为什么不能用 filepath.Join 处理所有 WebDAV 路径？答：它适合本机文件系统路径，不应替换 FileSystem 约定的资源名分隔符。协议层和操作系统层要分别处理。

问：Dir 是否自动阻止 ../ 或符号链接越界？答：不能把它当作完整的安全沙箱。官方文档特别指出目录内符号链接可能指向树外，隔离要求需要额外设计。