Go os.OpenFile 怎样安全追加日志文件

用 Go 追加日志，最小可靠组合是 os.O_WRONLY | os.O_CREATE | os.O_APPEND：只写打开，不存在时创建，后续写入始终追加到文件末尾。真正容易出错的地方不在这一行，而在于把 perm 当成每次打开都能修改权限、忽略 Write 的返回值，或让 defer file.Close() 把关闭错误吞掉。

本文只讨论普通文件的追加写入、创建权限、写入错误和关闭生命周期。若需要日志轮转、跨进程协调、远程采集或严格落盘确认，还要在这个底层函数之上再做一层设计。

先固定追加模式与权限位

OpenFile 的三个标志各自负责一件事：O_WRONLY 决定以写模式打开，O_CREATE 允许目标不存在时创建，O_APPEND 让每次写入按追加语义处理。权限参数例如 0o640 主要在新文件创建时作为基础权限，最终结果还会受到系统 umask 影响；打开一个已经存在的文件时，不要把它理解为“重新设置成 0o640”。

package main

import "os"

func openLog(path string) (*os.File, error) {
	// O_APPEND 保证写入按追加语义进行，O_CREATE 只在文件不存在时创建。
	// 0o640 是新文件的基础权限，实际权限仍受系统 umask 影响。
	return os.OpenFile(path, os.O_WRONLY|os.O_CREATE|os.O_APPEND, 0o640)
}

日志目录必须提前存在，否则即使带了 O_CREATE，打开仍会因为父目录不存在而失败。追加打开也不等于可以安全地用 Seek 改写历史内容：官方文档明确指出，文件以 O_APPEND 打开时，Seek 的行为未定义；WriteAt 则会直接返回错误。

把打开、写入和关闭错误分开处理

一个日志写入函数至少有三类错误：打开失败说明路径、权限或文件状态有问题；写入失败说明本次数据没有按预期写完；关闭失败则可能暴露缓冲或文件描述符层面的异常。处理顺序上，写入错误优先于关闭错误，但关闭错误不能悄悄丢弃。

package main

import (
	"fmt"
	"os"
)

func appendLine(path, line string) (err error) {
	// 打开失败要立即返回，避免拿一个无效句柄继续写入。
	f, err := os.OpenFile(path, os.O_WRONLY|os.O_CREATE|os.O_APPEND, 0o640)
	if err != nil {
		return fmt.Errorf("打开日志文件: %w", err)
	}

	// 用具名返回值接住 Close 错误；如果 Write 已经失败，保留更直接的写入原因。
	defer func() {
		closeErr := f.Close()
		if err == nil && closeErr != nil {
			err = fmt.Errorf("关闭日志文件: %w", closeErr)
		}
	}()

	if _, err = f.WriteString(line + "\n"); err != nil {
		return fmt.Errorf("追加日志: %w", err)
	}
	return nil
}

这里没有把 Close 简单写成一行 defer f.Close()，因为那样无法把关闭错误交给调用方。对于一次性追加短行，这个函数已经能把资源生命周期收口；如果上层采用长期打开的句柄，则应把关闭责任明确放到拥有该句柄的对象中。

按日志写入压力选择同步边界

O_APPEND 解决的是“写入从追加语义开始”这个文件操作问题，不承诺完整日志系统能力。高并发服务中，多个 goroutine 共用同一个 *os.File 时，File 方法本身支持并发使用，但日志行的组织、轮转和错误上报仍需要应用层设计。

可以按下面的边界做选择：

如果业务要求“调用返回就已经持久化到介质”，还需要评估 O_SYNC 或显式同步策略的代价。它会改变延迟和吞吐，不应为了“安全”无条件开启。

用一个可复用函数收口生命周期

最后，把判断压缩成四句话：追加日志用 O_WRONLY|O_CREATE|O_APPEND；创建权限写成清楚的八进制并记住 umask；每次检查 Write 返回的错误；如果函数拥有文件句柄，就把 Close 错误返回给调用方。

不要用 Seek 和 WriteAt 试图在追加文件中修改旧位置，也不要把 O_APPEND 误认为跨进程日志协调器。先把这一层文件语义做对，再根据吞吐、轮转和采集需求决定是否引入更高层日志组件。

常见问题

目录不存在时 O_CREATE 会自动创建目录吗？

不会。O_CREATE 只负责创建目标文件，父目录需要提前准备好。

已有日志文件的权限会被 perm 参数改掉吗？

通常不会。perm 主要用于新建文件；已有文件的权限应通过明确的权限管理操作处理。

追加模式下能用 WriteAt 吗？

不能把它当作定点覆盖工具。官方 os.File.WriteAt 文档说明，文件以 O_APPEND 打开时，WriteAt 会返回错误。

参考资料：https://pkg.go.dev/os、https://go.dev/src/os/example_test.go