Go os.Root Symlink 怎样创建受限目录内的相对链接

在受限目录里做静态资源版本切换时，经常想把 current 指向 releases/v1。Go 1.25 起，os.Root 提供了 Root.Symlink，可以把链接入口创建在 Root 管理的目录树中。

官方资料：https://pkg.go.dev/os#Root.Symlink

结论：newname 是 Root 中要创建的链接路径，oldname 是写进符号链接的目标文本；Root.Symlink 明确不会校验 oldname 是否指向 Root 外部。若业务只允许内部相对链接，必须在调用前自己限制目标格式。

先分清三种链接需求

如果目录中有多个发布版本，current 只是一个可变入口，最适合符号链接。它保存的是目标路径文本，切换版本时可以删除旧链接再创建新链接。

硬链接更像给同一个文件增加一个目录名，要求底层文件系统支持，而且不适合目录；复制文件则产生独立内容，成本更高，但生命周期最直观。

Root.Symlink 的边界：谁被校验，谁不被校验

调用形式是 root.Symlink(oldname, newname)。其中 newname 是新链接在 Root 内的路径，父目录需要先存在；oldname 不会被 Root.Symlink 解析或验证，它只是链接的目标内容。

这条规则很容易被误解：Root 保护的是 Root 自己的文件操作边界，不等于业务链接目标天然安全。若链接目标来自配置或用户输入，不要只判断字符串里有没有 ..；至少应拒绝绝对路径、空值和清理后仍离开允许目录的相对路径，并把允许的根目录作为单独规则维护。

用 Root.Symlink 创建可控的相对链接

下面的示例把 current 指向同一个 Root 下的 releases/v1，然后用 Readlink 读取链接文本。代码展示的是调用关系，不代表已在本机执行。

package main

import (
    "fmt"
    "log"
    "os"
)

func main() {
    root, err := os.OpenRoot("/srv/app")
    if err != nil {
        log.Fatal(err) // 打开根目录失败时不要继续创建链接
    }
    defer root.Close() // Root 持有的系统资源在函数结束时释放

    if err := root.MkdirAll("releases/v1", 0o755); err != nil {
        log.Fatal(err) // 先保证链接目标所在目录存在
    }

    // oldname 是链接目标文本，newname 才是 Root 内创建的链接入口。
    if err := root.Symlink("releases/v1", "current"); err != nil {
        log.Fatal(err) // 目标已存在或父目录缺失时保留原始错误
    }

    target, err := root.Readlink("current")
    if err != nil {
        log.Fatal(err) // 读取失败通常意味着链接入口不存在或不是链接
    }
    fmt.Println(target) // 预期得到链接中保存的相对目标文本
}

生产代码通常还要先处理“切换已存在链接”的流程：先用 root.Lstat("current") 判断入口，再按业务决定删除、改名或拒绝覆盖。不要直接用 RemoveAll 代替判断，因为它的语义比“只删除一个链接入口”更宽。

什么时候换成 Link 或复制文件

Root.Link(oldname, newname) 创建的是硬链接，两个目录项指向同一个文件内容；它不适合需要链接目录的版本树，也可能受到文件系统限制。需要“两个入口看到同一份文件”时才考虑它。

如果下游系统不识别符号链接，或者交付物必须脱离原目录独立保留，就选择复制。复制虽然多一次 I/O，却把目标关系变成了明确的文件内容，回滚、归档和跨设备传输更容易解释。

我的选择规则是：版本切换用 Symlink，同文件系统的文件别名用 Link，独立交付用复制；而只要链接目标来自外部输入，就先做业务级 allowlist，再调用 Root.Symlink。

常见问题

oldname 写成绝对路径会被 Root.Symlink 拒绝吗？

不能把这个判断交给 Root.Symlink。官方文档说明 oldname 不会被验证，因此应由业务在调用前明确拒绝不允许的绝对路径和越界目标。

怎样确认链接里保存的是什么？

调用 root.Readlink("current") 读取目标文本；若要判断入口本身是不是符号链接，可使用 root.Lstat 查看文件模式，而不是直接跟随链接读取。

Root.Close 后还能继续调用 Symlink 吗？

不能。Root.Close 后 Root 方法会返回错误，所以应让 Root 的生命周期覆盖所有创建、读取和切换链接的操作。