用net/http下载图片需自定义http.Client并设置超时、重定向、User-Agent，流式写入避免OOM，优先从Content-Disposition或Content-Type推导文件名并过滤路径遍历。
直接用 net/http 下载图片是可行的，但默认不处理重定向、超时、文件名推断和大文件流式写入——这些恰恰是实际项目中最容易出问题的地方。
如何用 http.Get 下载并保存图片（基础但有坑）
很多人第一反应是 http.Get + ioutil.WriteFile，但这会把整个图片加载进内存，遇到 10MB+ 的图就可能 OOM。
- 必须设置
Client.Timeout，否则 DNS 卡住或服务器无响应时会永久阻塞 -
http.Get默认不跟随 302/307 重定向，很多 CDN 图片链接会跳转，结果下载到的是 HTML 页面内容 - 响应头里的
Content-Disposition或 URL 路径中的扩展名，比硬编码.jpg更可靠
client := &http.Client{Timeout: 30 * time.Second}
resp, err := client.Get("https://example.com/photo.png")
if err != nil {
log.Fatal(err)
}
defer resp.Body.Close()
<p>if resp.StatusCode != http.StatusOK {
log.Fatalf("HTTP %d", resp.StatusCode)
}</p><p>// 推荐从 URL 或 Header 推导文件名
fileName := parseFileNameFromURL(resp.Request.URL) // 自行实现
out, _ := os.Create(fileName)
defer out.Close()
io.Copy(out, resp.Body) // 流式写入，不占内存为什么 http.DefaultClient 在生产环境要重写
它没有设置超时，且复用连接池时若服务端异常关闭连接，可能引发 net/http: request canceled (Client.Timeout) 之外的隐蔽错误。
-
DefaultClient的Transport没配MaxIdleConns，高并发下可能耗尽文件描述符 - 某些图片服务（如微信公众号图床）会校验
User-Agent，空 UA 会被 403 拒绝 - 需要支持 HTTP/2 或自定义 TLS 配置时，必须显式构造
http.Client
tr := &http.Transport{
MaxIdleConns: 100,
MaxIdleConnsPerHost: 100,
IdleConnTimeout: 30 * time.Second,
}
client := &http.Client{
Transport: tr,
Timeout: 30 * time.Second,
}
req, _ := http.NewRequest("GET", url, nil)
req.Header.Set("User-Agent", "Mozilla/5.0 (Go)")
resp, _ := client.Do(req)如何安全提取图片文件名（避免路径遍历和空扩展名）
直接用 url.Path 取最后一段再加 .png 是危险的——攻击者可构造 https://x.com/../../etc/passwd，或返回 Content-Type: image/webp 但 URL 是 /photo.jpg。
立即学习“go语言免费学习笔记（深入）”；
- 优先检查响应头
Content-Disposition: attachment; filename="cat.webp" - fallback 到
Content-Type（如image/webp→.webp），而非 URL 后缀 - 对提取的文件名做白名单过滤：
strings.TrimSuffix(strings.TrimSuffix(filename, "/"), "\")防止目录穿越
func parseFileNameFromResp(resp *http.Response, fallbackURL *url.URL) string {
if cd := resp.Header.Get("Content-Disposition"); cd != "" {
if _, params, err := mime.ParseMediaType(cd); err == nil {
if name := params["filename"]; name != "" {
return sanitizeFilename(name)
}
}
}
ext, _ := mime.ExtensionsByType(resp.Header.Get("Content-Type"))
if len(ext) > 0 {
return fmt.Sprintf("img%s", ext[0])
}
return "img.jpg" // 终极 fallback
}真正麻烦的不是“怎么下”，而是“怎么下得稳”：超时控制、重定向策略、文件名可信源、磁盘空间预估、失败重试的退避逻辑——这些在 demo 里全被省略，但上线后第一个流量高峰就会暴露。
