path.clean会将双斜杠合并为单斜杠，适用于文件路径但会破坏url中//的语义；处理url路径应使用net/url解析u.path字段，而非path包。
Unix路径用path.Clean会把双斜杠变成单斜杠，但URL里//可能有语义
Unix风格路径中//等价于/，所以path.Clean默认合并——这对文件系统操作是安全的，但若你处理的是URL路径（比如代理转发、路由匹配），https://example.com//api//v1里的双斜杠可能被后端服务当作特殊分隔符。这时候直接套用path.Clean会悄悄改掉原始结构。
实操建议：
- 纯文件路径（如
/var/log//nginx/./access.log）放心用path.Clean - URL路径（含协议头或需保留原始分隔）别用
path包，改用net/url解析后再操作u.Path字段 - 若必须用
path处理类URL字符串，先手动替换//为占位符，Clean完再换回来（不推荐，易出错）
path.Join自动删空段，但空字符串参数会导致路径开头丢失
path.Join会跳过所有空字符串参数，这在拼接动态路径时容易引发意外：比如path.Join("", "usr", "bin")结果是usr/bin，开头没/；而path.Join("/", "usr", "bin")才是/usr/bin。很多人误以为第一个参数是“根”，其实它只当普通段处理。
常见错误现象：path.Join(dir, filename)中dir为空时，返回值突然变成相对路径，导致os.Open打开失败。
立即学习“go语言免费学习笔记（深入）”；
实操建议：
- 拼接绝对路径前，显式检查首段是否以
/开头，必要时补上：if !strings.HasPrefix(dir, "/") { dir = "/" + dir } - 避免传入可能为空的变量——用
path.Join(append([]string{root}, parts...)...)更可控 - Windows下
path.Join仍按Unix规则处理（不转\），跨平台路径构造请用filepath.Join
path.Base和path.Dir对.和..不解析，和filepath行为不一致
path.Base("/a/b/..")返回..，不是b；path.Dir("/a/b/..")返回/a/b，不是/a。因为path包设计目标是纯字符串操作，不模拟文件系统遍历逻辑——这点和filepath包完全不同。
使用场景：当你只做路径字符串拆解（比如HTTP路由提取最后一段）、且明确知道输入不含..或.时，path够快也够轻；但若输入来自用户、可能含../etc/passwd这类绕过尝试，path无法帮你识别风险。
实操建议：
- 校验用户输入路径安全性时，必须先用
path.Clean归一化，再检查是否仍在允许目录内（如strings.HasPrefix(cleaned, "/var/www/")） - 不要依赖
path.Base提取“真实文件名”——path.Base("/a/b/../../etc/passwd")仍是passwd，但实际访问的是/etc/passwd - 需要语义化路径操作（比如
..回退、.展开）一律切到filepath包
Unix路径转URL路径时，%2F不能靠path包解决
URL路径中/要原样保留，不能编码；但如果你把一个Unix路径（如/api/v1/users）直接拼进URL字符串，某些场景下会被误当成URL层级分隔——真正需要编码的是路径段内的特殊字符（如空格、中文），而不是/本身。
错误做法：url.PathEscape("/api/v1/users") → %2Fapi%2Fv1%2Fusers，这会让HTTP服务器找不到路由。
实操建议：
- 只对单个路径段（segment）调用
url.PathEscape，例如path.Join("/api/v1", url.PathEscape(username)) - 整条路径拼接完成后，用
net/url解析再重写u.Path，它内部会正确处理/边界 - 别用
path包生成URL——它的职责是文件系统路径，不是URI组件
最常被忽略的一点：path包所有函数都假设输入是已标准化的Unix路径字符串，不验证合法性。传入C:\windows或http://不会报错，但结果毫无意义。
