需用 filepath.Clean() 规范路径并校验前缀防遍历，ServeFile 仅用于下载且须前置校验；目录列表须手动 ReadDir 生成 HTML；上传时调用 ParseMultipartForm 限制内存并及时清理临时文件。
如何用 net/http 实现基础文件列表与下载
Go 标准库的 net/http 足以支撑一个轻量级文件管理界面，无需额外框架。关键在于安全地映射请求路径到本地文件系统，同时避免路径遍历漏洞。
常见错误是直接用 r.URL.Path 拼接 os.Open，导致攻击者通过 ../../../etc/passwd 读取任意文件。
- 始终用
filepath.Clean()规范化路径，并检查是否仍以允许的根目录开头（如strings.HasPrefix(cleaned, allowedRoot)） - 用
http.ServeFile处理单个文件下载，它会自动处理If-Modified-Since和 404；但注意它不校验路径合法性，必须前置拦截 - 列出目录时别用
http.Dir的默认行为——它不渲染 HTML，需手动读取filepath.ReadDir并生成响应
示例片段：
fs := http.FileServer(http.Dir("/var/www/files"))
http.Handle("/files/", http.StripPrefix("/files/", fs))
这行代码只适合静态托管，不适用于需要鉴权或自定义列表页的场景。
立即学习“go语言免费学习笔记（深入）”；
上传文件时如何避免内存溢出和临时文件残留
r.ParseMultipartForm(32 的参数不是最大文件大小，而是内存中缓存的上限（此处为 32MB）。超过该值的部分会写入磁盘临时文件，但 Go 不会自动清理这些文件。
- 务必调用
r.MultipartForm.RemoveAll()或在 handler 结束后显式os.RemoveAll(form.TempDir) - 若需限制单个文件大小，应在读取
form.File后用io.LimitReader包裹file.Open()返回的io.ReadCloser - 不要依赖
maxMemory参数来限流——它只控制 form 字段解析阶段，对大文件上传无约束力
典型误用：
err := r.ParseMultipartForm(1 << 20) // 设为 1MB，以为能拦住大文件 // 但攻击者仍可上传 100MB 文件，只是前 1MB 在内存，其余落磁盘且不清理
为什么 os.Rename 在跨文件系统时失败，以及替代方案
Web 管理中的“重命名”或“移动”操作常调用 os.Rename，但它在 Linux 下本质是 rename(2) 系统调用，仅支持同文件系统内操作。一旦源和目标挂载点不同（如 /tmp 和 /home），就会返回 invalid cross-device link 错误。
- 检测是否跨设备：用
os.Stat获取两个路径的sys.Stat_t.Dev字段比对 - 跨设备时改用
io.Copy+os.Remove组合，注意处理中断、权限、原子性（可先写临时文件再os.Rename替换） - 删除非空目录不能只靠
os.Remove，得用os.RemoveAll；但后者无回调，无法实现“删除中…”进度反馈
前端上传进度条与后端流式处理的衔接难点
浏览器原生 XMLHttpRequest.upload.onprogress 只能报告已发送字节数，后端无法直接暴露处理进度。想实现真实进度条，必须让服务端主动推送状态。
- 不要尝试在 handler 中 sleep 并写响应流——HTTP/1.1 不支持服务端 push，客户端会超时或截断
- 可行做法：上传请求返回唯一
upload_id，前端轮询/api/progress?upload_id=xxx接口，后端用内存 map 或 Redis 存储各任务当前字节数 - 若用 streaming upload（如
multipart/form-data流式解析），需在读取multipart.Reader时实时更新进度计数器，注意并发读写需加锁
最易被忽略的是：上传完成后，临时文件可能仍在磁盘，而进度接口却显示 100%，用户刷新页面后发现文件没出现——这是因为保存逻辑（如解压、转码）尚未完成，但进度计数器已提前归零。
