图片马是将恶意代码嵌入合法图片文件末尾的攻击手段，Go 不能单靠后缀判断因其头部仍是正常图片格式，需结合 image.Decode 验证结构 + bytes.Contains 扫描末尾敏感字符串。
什么是图片马，为什么 Go 不能靠文件后缀判断
图片马本质是把恶意代码（如 PHP、JSP、ASPX 的 webshell）直接写进 JPEG/PNG 文件的末尾或特定区域，文件头仍是合法图片格式，浏览器能正常渲染，但 Web 服务器若配置不当（比如 upload.php 允许执行 .jpg 后缀），就会触发执行。Go 的 http.ServeFile 或静态服务本身不执行代码，但如果你用 os/exec 调用外部命令处理上传文件、或用 net/http 把上传路径拼进 exec.Command，风险就来了。关键点：文件后缀、Content-Type、甚至 magic bytes 都可能被绕过——攻击者会保留合法图片头，再追加 <?php system($_GET['cmd']); ?> 这类 payload。
用 image.Decode + bytes.Contains 做基础检测
Go 标准库的 image.Decode 只解析图片结构，不加载整个文件到内存，也不会执行任意代码，相对安全。但它只校验头部和关键段（如 IHDR、IDAT），对末尾追加的 PHP/ASPX 片段无感。所以得配合二进制扫描：
- 先用
image.Decode确保它是可解析的合法图片（排除纯文本伪装） - 再读取文件末尾 4–8KB（足够覆盖常见 webshell 尾部特征），用
bytes.Contains检查敏感字符串，如、、<code><script>、<code>eval(</script>、assert( - 注意：PNG 允许在
iTXt、tEXt块里藏代码，JPEG 的 APP0–APP15 段也可能被滥用，但简单场景下扫尾部更高效
file, _ := os.Open("upload.jpg")
defer file.Close()
<p>// Step 1: 尝试解码
_, format, err := image.Decode(file)
if err != nil {
return errors.New("not a valid image: " + err.Error())
}</p><p>// Step 2: 重置 offset，读尾部
file.Seek(0, 0)
info, _ := file.Stat()
endOffset := info.Size() - 8192
if endOffset < 0 {
endOffset = 0
}
file.Seek(endOffset, 0)</p><p>tail := make([]byte, info.Size()-endOffset)
file.Read(tail)</p><p>if bytes.Contains(tail, []byte("<?")) || bytes.Contains(tail, []byte("eval(")) {
return errors.New("suspicious php-like content detected")
}
用 filetype 库做 MIME 类型二次校验
标准 http.DetectContentType 只看前 512 字节，容易被伪造；而 github.com/h2non/filetype 支持更细粒度的 magic number 匹配（如识别 PNG 的 \x89PNG\r\n\x1a\n、JPEG 的 \xff\xd8\xff）。但它仍无法发现“图片头+PHP尾”的混合体，只能帮你排除明显非图文件（比如传了个 .jpg 后缀的 ZIP）：
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 安装：
go get github.com/h2non/filetype - 使用时必须读取文件开头至少 262 字节（
filetype.MaxHeaderBytes），否则可能误判 - 不要依赖
filetype.IsImage返回 true 就放行——它只确认“是图片”，不确认“只有图片” - 典型误报：某些相机生成的 JPEG 带有 XMP 元数据，含 XML 标签，会被误标为
text/xml
生产环境必须加白名单 + 存储隔离
所有 Go 层面的检测都只是辅助手段。真正的防线在部署侧：
立即学习“go语言免费学习笔记（深入）”；
- 上传目录禁止执行权限：
chmod -R 755 /var/www/uploads，且确保 Web 服务器（Nginx/Apache）对该目录禁用php_flag engine off或AddHandler php-script .jpg类配置 - 存储时重命名：用
uuid.NewString()+ 固定后缀（如.jpg），彻底剥离原始文件名 - 如果业务真要解析图片元数据（EXIF），务必使用
github.com/rwcarlsen/goexif/exif而非自己bytes.Index扫描——EXIF 中的 UserComment 字段曾被用于藏 shell，而 goexif 会安全跳过非法 tag - 最保险的做法：上传后用 ImageMagick 的
convert input.jpg output.jpg重建图片——这会剥离所有非标准块，但代价是 CPU 和延迟
图片马检测没有银弹。Go 能帮你拦掉 80% 的低级攻击，但绕过方式太多：嵌入 ZIP 的 PNG、利用 GD 库漏洞的畸形 GIF、甚至用 Base64 编码混淆的 PHP 片段……重点不是写多复杂的检测逻辑，而是让攻击者即使传进去了，也没法执行。
