使用 Go FileServer 安全地提供静态文件

本文介绍了如何使用 Go 语言的 `net/http` 包中的 `FileServer` 函数来提供静态文件，并重点讲解了如何通过中间件或自定义 `http.FileSystem` 的方式，限制客户端访问特定的文件类型，例如只允许访问 HTML 文件，保护 JavaScript 等其他资源不被直接访问。

在使用 Go 构建 Web 应用时，经常需要提供静态文件，例如 HTML、CSS、JavaScript 和图片等。net/http 包中的 FileServer 函数提供了一种简单的方式来完成这项任务。然而，在某些情况下，我们可能需要限制客户端对某些文件的访问，例如保护 JavaScript 代码不被直接查看。本文将介绍几种方法来实现这一目标。

使用中间件过滤文件

一种常见的方法是使用中间件来过滤客户端的请求。中间件本质上是一个 HTTP Handler，它在请求到达实际的处理函数之前执行。我们可以创建一个中间件，检查请求的文件名是否符合特定的模式，如果不符合，则返回 404 Not Found 错误。

下面是一个示例代码：

package main

import (
    "log"
    "net/http"
    "path/filepath"
)

func GlobFilterHandler(h http.Handler, pattern string) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        path := r.URL.Path
        fileName := filepath.Base(path)

        ok, err := filepath.Match(pattern, fileName)
        if err != nil {
            log.Println("Error in pattern match:", err)
            http.Error(w, http.StatusInternalServerError) // 更准确的错误处理
            return
        }
        if !ok {
            http.NotFound(w, r)
            return
        }

        h.ServeHTTP(w, r)
    })
}

func main() {
    fileHandler := http.FileServer(http.Dir("static")) // 将目录改为 "static"
    wrappedHandler := GlobFilterHandler(fileHandler, "*.html") // 只允许访问 HTML 文件

    http.Handle("/", wrappedHandler) // 使用 http.Handle 注册处理程序
    log.Fatal(http.ListenAndServe(":8080", nil)) // 使用 log.Fatal 处理错误
}

在这个例子中，GlobFilterHandler 函数创建了一个中间件，它接受一个 HTTP Handler 和一个模式作为参数。该中间件检查请求的文件名是否符合指定的模式，如果符合，则将请求传递给原始的 HTTP Handler，否则返回 404 Not Found 错误。

在 main 函数中，我们首先创建了一个 FileServer，它将 static 目录作为根目录。然后，我们使用 GlobFilterHandler 函数将 FileServer 包装起来，只允许访问 *.html 文件。最后，我们将包装后的 HTTP Handler 注册到根路径 /。

注意事项：

提客AI提词器

「直播、录课」智能AI提词，搭配抖音直播伴侣、腾讯会议、钉钉、飞书、录课等软件等任意软件。

64

查看详情

• 确保 static 目录存在，并且包含 index.html 文件。
• filepath.Match 函数的模式匹配语法与 glob 类似。
• 错误处理：在模式匹配出错时，应返回 http.StatusInternalServerError 错误，而不是直接调用 log.Println。
• 注册处理程序：使用 http.Handle 函数将处理程序注册到指定的路径。
• 错误处理：使用 log.Fatal 处理 http.ListenAndServe 返回的错误，确保程序在监听失败时能够正确退出。

自定义 http.FileSystem

另一种方法是自定义 http.FileSystem 接口的实现。http.FileSystem 接口定义了 Open 方法，该方法用于打开指定的文件。我们可以创建一个自定义的 http.FileSystem 实现，在 Open 方法中检查文件名是否符合特定的模式，如果不符合，则返回错误。

下面是一个示例代码：

package main

import (
    "fmt"
    "log"
    "net/http"
    "path/filepath"
)

type GlobDir struct {
    Dir     http.Dir
    Pattern string
}

func (d GlobDir) Open(name string) (http.File, error) {
    baseName := filepath.Base(name)

    if ok, err := filepath.Match(d.Pattern, baseName); !ok || err != nil {
        if err != nil {
            return nil, err
        }
        return nil, fmt.Errorf("%s does not match GlobDir pattern.", baseName)
    }

    return d.Dir.Open(name)
}

func main() {
    fileHandler := http.FileServer(GlobDir{
        Dir:     http.Dir("static"), // 将目录改为 "static"
        Pattern: "*.html",       // 只允许访问 HTML 文件
    })

    http.Handle("/", fileHandler) // 使用 http.Handle 注册处理程序
    log.Fatal(http.ListenAndServe(":8080", nil)) // 使用 log.Fatal 处理错误
}

在这个例子中，GlobDir 结构体实现了 http.FileSystem 接口。Open 方法首先获取文件名，然后检查文件名是否符合指定的模式。如果符合，则调用原始的 http.Dir 的 Open 方法打开文件，否则返回错误。

在 main 函数中，我们创建了一个 GlobDir 实例，并将 static 目录和 *.html 模式传递给它。然后，我们使用 http.FileServer 函数创建一个 HTTP Handler，并将 GlobDir 实例作为参数传递给它。最后，我们将 HTTP Handler 注册到根路径 /。

注意事项：

• 与第一种方法类似，确保 static 目录存在，并且包含 index.html 文件。
• GlobDir 结构体需要实现 http.FileSystem 接口的所有方法，即使只重写了 Open 方法。
• 注册处理程序：使用 http.Handle 函数将处理程序注册到指定的路径。
• 错误处理：使用 log.Fatal 处理 http.ListenAndServe 返回的错误，确保程序在监听失败时能够正确退出。

总结

本文介绍了两种方法来限制 FileServer 提供的静态文件的访问。第一种方法是使用中间件来过滤请求，第二种方法是自定义 http.FileSystem 接口的实现。选择哪种方法取决于具体的需求。如果只需要简单的文件过滤，可以使用中间件。如果需要更复杂的逻辑，可以自定义 http.FileSystem 接口的实现。 无论选择哪种方法，都需要仔细考虑安全性，确保只有授权用户才能访问敏感文件。

以上就是使用 Go FileServer 安全地提供静态文件的详细内容，更多请关注php中文网其它相关文章！