multipart.FormFile仅做基础解析，不校验文件头、不限制大小、不验证MIME真实性，无法防御伪装文件或DoS攻击，必须结合io.LimitReader、image.Decode和mimesniff等进行流式前置校验。
为什么 multipart.FormFile 不能直接用于安全校验
它只做基础解析，不校验文件头、不拦截超大 payload、不验证 MIME 类型真实性。攻击者传一个伪装成 image/jpeg 的 WebShell（比如把 PHP 内容加个 JPEG 头），multipart.FormFile 会照单全收。
真正需要的是在内存中完成三件事：读取前 N 字节判断真实类型、限制总大小、拒绝危险扩展名或不可信 MIME。不要等文件落地再检查——那时木马可能已经写入临时目录。
- 务必用
http.MaxBytesReader包裹request.Body，防止慢速 POST 攻击耗尽内存 - 调用
file.Header.DetectContentType前，先用io.LimitReader限制最多读 512 字节，避免恶意构造的超长 header - 不要信任
file.Header.Filename或Content-Type字段，它们全由客户端控制
如何用 net/http + mimesniff 做可信类型识别
Go 标准库的 http.DetectContentType 只支持 512 字节且逻辑简单，对 SVG、Office 文档、WebP 等识别不准。推荐用 github.com/abiosoft/mimesniff，它复现了 Chrome 的 MIME sniffing 规则，更贴近浏览器行为。
实操时，先从 multipart.File 中读出原始字节，再喂给 mimesniff.Sniff：
立即学习“go语言免费学习笔记（深入）”；
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
buf := make([]byte, 512) n, _ := io.ReadFull(file, buf) // 注意处理 io.ErrUnexpectedEOF mimeType := mimesniff.Sniff(buf[:n], "")
- 若返回
application/octet-stream，说明无法识别，应拒绝而非降级处理 - 对图片类文件，额外用
image.DecodeConfig验证是否真能解码（防“幻数绕过”） - 注意
mimesniff不校验扩展名，必须和后缀白名单联合使用
io.Pipe 在校验链路中的关键作用
想边校验边保存？别用 bytes.Buffer 全部缓存——大文件会 OOM。用 io.Pipe 拆成生产者（校验流）和消费者（存储流），校验失败时立刻关闭 pipe，下游 io.Copy 自动中断。
典型结构：
pr, pw := io.Pipe()
go func() {
defer pw.Close()
if err := validateAndCopy(file, pw); err != nil {
pw.CloseWithError(err) // 触发 pr.Read 返回 error
}
}()
dst, _ := os.Create("/tmp/uploaded")
io.Copy(dst, pr) // 校验失败时这里立即退出
- 必须用 goroutine 启动校验，否则 pipe 会死锁
-
pw.CloseWithError是关键，它让下游感知到异常，避免文件写半截 - 不要在 pipe 外层再套
io.MultiReader—— 它不支持Seek，后续无法二次校验
扩展名与 MIME 白名单怎么配才不漏不滥
白名单不是静态字符串比对。例如允许 .jpg，但要同时接受 image/jpeg、image/pjpeg、image/jpg；允许 .pdf，得覆盖 application/pdf 和常见变体 application/x-pdf。
建议用 map 结构维护映射，并在校验末尾做双向确认：
var extToMime = map[string][]string{
".jpg": {"image/jpeg", "image/pjpeg", "image/jpg"},
".pdf": {"application/pdf", "application/x-pdf"},
}
// 校验逻辑：
validMime := extToMime[ext]
if len(validMime) == 0 || !contains(validMime, detectedMime) {
return errors.New("unsafe file type")
}
- 扩展名提取必须用
path.Ext(filename)，别用strings.Split—— 文件名含点（如report.v1.2.pdf）会误判 - 对无扩展名文件（如
upload），仅依赖 MIME 识别结果，且必须要求mimesniff返回非application/octet-stream - 永远禁用
.php、.jsp、.sh、.exe等执行类后缀，哪怕 MIME 显示为text/plain
最常被忽略的一点：校验逻辑必须运行在独立 goroutine 中，且整个 HTTP handler 要设置 context.WithTimeout。否则恶意用户上传超大文件时，校验卡住会导致连接池耗尽，服务整体不可用。
