Go语言内置http.FileServer可快速搭建安全静态文件服务，需正确配置路径、处理路由前缀、防范目录遍历；支持SPA路由需手动拦截非静态路径返回index.html；生产环境应加固安全、添加缓存与日志。
Go语言内置的http.FileServer足够轻量、高效，无需额外框架就能快速搭建一个安全可靠的静态文件服务——关键在于正确配置路径、处理路由前缀和避免目录遍历漏洞。
基础静态服务：一行代码启动
最简实现只需调用http.FileServer并传入文件系统根目录：
- 使用
http.Dir("./static")指定本地静态资源目录（如 CSS、JS、图片） - 用
http.Handle("/static/", http.StripPrefix("/static/", http.FileServer(http.Dir("./static"))))将/static/路径映射到磁盘目录，同时剥离前缀防止路径错位 - 注意：
http.FileServer默认不支持index.html自动返回，需手动注册或启用http.ServeFile兜底
支持首页和单页应用（SPA）路由
前端项目常需在/返回index.html，且让前端路由接管子路径（如/user/profile）。Go本身不提供重写规则，需手动拦截：
- 对所有非静态资源路径（如不匹配
/static/、/api/等），统一返回./static/index.html - 用
http.ServeFile(w, r, "./static/index.html")确保正确设置Content-Type和状态码 - 建议把这类逻辑封装成中间件函数，避免
http.HandleFunc堆砌
安全加固：防止目录遍历与敏感文件暴露
http.FileServer默认会拒绝../路径，但仍有风险点需主动防御：
立即学习“go语言免费学习笔记（深入）”；
- 不要直接用用户输入拼接文件路径；始终用
filepath.Clean()标准化路径，并校验是否仍在允许目录内 - 禁止暴露
.git、.env、go.mod等隐藏文件，可通过自定义http.FileSystem过滤 - 生产环境关闭
http.FileServer的目录列表功能（默认已禁用），避免意外开启http.Dir的可列目录行为
生产就绪：添加缓存、压缩与日志
原生FileServer不带压缩和精细缓存控制，可用简单包装增强：
- 用
http.MaxBytesReader限制单个请求体大小，防恶意大文件请求 - 通过
w.Header().Set("Cache-Control", "public, max-age=3600")为静态资源加合理缓存头 - 借助
golang.org/x/net/http2启用HTTP/2，配合Nginx做Gzip/Brotli压缩更稳妥（Go标准库暂不内置压缩响应） - 记录访问日志可用
log.Printf简单输出，或接入middleware类库做结构化日志
基本上就这些。Go的静态服务不是“替代Nginx”，而是适合开发联调、内部工具、嵌入式管理页等场景——够用、可控、无依赖。
