Go静态文件服务器需严控路径遍历、精准识别MIME类型、合理设置缓存；用filepath.Clean校验路径，mime.TypeByExtension优先判别类型，ServeContent启用ETag与Cache-Control。
用 Go 写一个静态文件服务器并不复杂，关键在于正确解析请求路径、安全映射到本地目录、高效响应文件，同时避免常见陷阱（比如路径遍历、MIME 类型错误、缓存控制不当）。下面从目录解析和响应优化两个核心角度给出实用方案。
安全解析请求路径，防止目录遍历
用户请求如 /static/../etc/passwd 必须被拒绝，不能直接拼接字符串后调用 os.Open。正确做法是用 filepath.Clean 规范路径，再检查是否仍在允许根目录内：
- 先用
filepath.Join(root, r.URL.Path)拼接原始路径 - 再用
filepath.Clean去掉..和.，得到规范路径 - 用
strings.HasPrefix(cleanedPath, filepath.Clean(root))确保结果没跳出根目录 - 如果校验失败，返回
http.Error(r, "Forbidden", http.StatusForbidden)
智能识别 MIME 类型，避免浏览器解析异常
Go 的 net/http.ServeFile 会自动调用 http.DetectContentType，但只读前 512 字节，对小文件或无扩展名文件不准确。更稳的方式是优先按文件扩展名查表：
- 使用
mime.TypeByExtension(filepath.Ext(path))获取类型（如.js→application/javascript） - 若返回空，再 fallback 到
http.DetectContentType读取文件头 - 对常见静态资源（
.html,.css,.js,.png等）确保类型正确，否则浏览器可能下载而非渲染
启用 HTTP 缓存与 ETag，减少重复传输
静态资源通常不变，应主动设置缓存策略。Go 默认不加 Cache-Control，需手动补充：
立即学习“go语言免费学习笔记（深入）”；
- 对 CSS/JS/图片等长期不变资源，设
Cache-Control: public, max-age=31536000（1年） - 对 HTML 或带版本号的资源（如
app.a1b2c3.js），可设max-age=3600或配合 ETag - 用
http.ServeContent替代http.ServeFile，它会自动生成 ETag 并处理If-None-Match请求 - 注意：ETag 依赖文件修改时间或内容哈希，
http.ServeContent默认用ModTime，已够用
支持目录列表（可选），兼顾调试与简洁
开发时偶尔需要浏览目录结构，但生产环境应禁用。可用 http.FileServer + 自定义 http.FileSystem 实现开关控制：
- 启用时，用
http.Dir(root)构造文件系统，它默认支持目录列表 - 禁用时，包装一层自定义
Open方法，对目录请求（IsDir()==true）直接返回http.StatusNotFound - 也可统一返回
403或重定向到 index.html，避免暴露结构
基本上就这些。Golang 的 net/http 足够轻量可靠，不需要额外框架。重点是路径校验要严、MIME 要准、缓存要合理——写清楚这三块，一个健壮的静态服务器就出来了。
