用Go实现简易文件管理器需基于http包搭建Web服务，结合os/io操作文件，重点防范目录遍历漏洞，合理路由并安全处理上传（校验文件名、大小、路径）、下载与删除功能。
用 Go 写一个简易文件管理器并不复杂，核心是基于 http 包搭建 Web 服务，配合文件系统操作（os、io）实现上传、下载、删除功能。关键在于安全处理路径、合理组织路由、避免目录遍历漏洞，并兼顾基础用户体验。
基础 Web 服务与静态资源支持
先启动一个 HTTP 服务器，提供 HTML 页面和 API 接口。建议将前端页面（如 index.html）放在 ./static 目录下，用 http.FileServer 服务静态资源：
- 用
http.ServeMux注册/路由返回主页，/static/映射到本地 static 文件夹 - API 接口如
/upload、/download/{name}、/delete/{name}单独注册为 handler 函数 - 确保
index.html包含表单（enctype="multipart/form-data"）和 JS 请求逻辑，减少后端模板依赖
安全地处理文件上传
上传需校验文件名、大小和路径，防止覆盖系统文件或写入非法位置：
- 使用
r.ParseMultipartForm(32 限制最大内存缓存（如 32MB），超限则转临时磁盘文件 - 调用
filepath.Base(filename)提取原始文件名，过滤掉..、空字符、控制字符等危险片段 - 目标路径拼接用
filepath.Join(uploadDir, safeName)，再用filepath.EvalSymlinks或strings.HasPrefix检查是否仍在允许目录内 - 示例：若
uploadDir = "./uploads"，则../etc/passwd应被拒绝
支持下载与删除的 REST 风格接口
下载和删除都需校验文件是否存在、是否在白名单目录中，且不暴露绝对路径：
立即学习“go语言免费学习笔记（深入）”；
-
/download/{name}：用http.ServeFile返回文件，但先检查filepath.Join(uploadDir, name)是否在uploadDir下（可用filepath.Rel判断相对路径是否合法） -
/delete/{name}：接收 DELETE 请求，同样校验路径合法性后调用os.Remove；成功返回 200，失败返回 404 或 400 - 所有文件操作前加
os.Stat判断是否存在，避免 panic；错误统一返回 JSON 格式提示（如{"error": "file not found"}）
最小可行代码结构示意
一个可运行的骨架如下（省略 HTML，聚焦逻辑）：
func main() {
uploadDir := "./uploads"
os.MkdirAll(uploadDir, 0755)
http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
if r.URL.Path == "/" {
http.ServeFile(w, r, "static/index.html")
return
}
http.NotFound(w, r)
})
http.Handle("/static/", http.StripPrefix("/static/", http.FileServer(http.Dir("./static"))))
http.HandleFunc("/upload", uploadHandler(uploadDir))
http.HandleFunc("/download/", downloadHandler(uploadDir))
http.HandleFunc("/delete/", deleteHandler(uploadDir))
fmt.Println("Server running on :8080")
http.ListenAndServe(":8080", nil)
}
func uploadHandler(uploadDir string) http.HandlerFunc {
return func(w http.ResponseWriter, r *http.Request) {
if r.Method != "POST" {
http.Error(w, "Method not allowed", http.StatusMethodNotAllowed)
return
}
r.ParseMultipartForm(32 << 20)
file, _, err := r.FormFile("file")
if err != nil {
http.Error(w, "No file received", http.StatusBadRequest)
return
}
defer file.Close()
filename := filepath.Base(r.FormValue("filename"))
if filename == "" || strings.Contains(filename, "..") || strings.HasPrefix(filename, ".") {
http.Error(w, "Invalid filename", http.StatusBadRequest)
return
}
dstPath := filepath.Join(uploadDir, filename)
if !isInDir(dstPath, uploadDir) {
http.Error(w, "Access denied", http.StatusForbidden)
return
}
out, err := os.Create(dstPath)
if err != nil {
http.Error(w, "Cannot save file", http.StatusInternalServerError)
return
}
defer out.Close()
if _, err := io.Copy(out, file); err != nil {
http.Error(w, "Failed to save", http.StatusInternalServerError)
return
}
w.WriteHeader(http.StatusOK)
json.NewEncoder(w).Encode(map[string]string{"message": "uploaded"})
}
}
// isInDir 检查 path 是否在 root 目录下（防御路径穿越）
func isInDir(path, root string) bool {
rel, err := filepath.Rel(root, path)
return err == nil && !strings.HasPrefix(rel, "..") && !strings.IsAbs(rel)
}
不复杂但容易忽略路径安全和错误反馈细节，补全 HTML 表单和 JS 请求后即可本地试用。后续可扩展列表展示、分页、权限控制或对接对象存储。
