Go 文件上传需手动设五层防护，否则易致OOM、路径遍历、MIME伪造、恶意执行；ParseMultipartForm的maxMemory非文件大小上限，仅控内存缓冲。
Go 的文件上传接口默认不安全，必须手动加至少五层防护，否则极易触发 OOM、路径遍历、MIME 伪造、恶意执行等漏洞。
ParseMultipartForm 的 maxMemory 参数不是文件大小上限
很多人误以为 r.ParseMultipartForm(32 能限制上传文件最大为 32MB，其实它只控制表单字段（非文件内容）在内存中缓存的上限。超出部分会写入临时磁盘，但整个文件仍会被完整读入——攻击者发一个 2GB 的 <code>file 字段，照样可能耗尽磁盘或拖垮 IO。
- 必须在
ParseMultipartForm前用http.MaxBytesReader包裹r.Body，硬性截断请求体总长度 - 示例：
r.Body = http.MaxBytesReader(w, r.Body, 32 —— 这才是真正的总请求大小闸门 - 即使设了这个，仍需后续校验
header.Size，因为攻击者可能构造多个小文件绕过单次限制
Content-Type 和扩展名都不可信，必须读 magic bytes
header.Header.Get("Content-Type") 和 filepath.Ext(header.Filename) 全部可被客户端任意篡改。传个 xxx.jpg，实际是 PHP shell，Nginx 配置稍有疏漏就会直接执行。
- 用
github.com/h2non/filetype读取文件前 262 字节做真实类型识别，比标准库http.DetectContentType更准（后者只读 512 字节且对某些格式支持弱） - 白名单必须严格：只放
"image/jpeg"、"image/png"、"application/pdf"等明确业务需要的 MIME，禁用"text/html"、"application/x-executable"、"application/javascript" - 若需保留扩展名，只能从 magic bytes 推断后查白名单 map，绝不能用原始 filename 的后缀
文件名拼接必须防路径遍历和空字节截断
用户传 filename="../../etc/passwd" 或 "shell.php\x00.jpg"，直接 os.Create(uploadDir + "/" + filename) 就等于开放任意写权限。
立即学习“go语言免费学习笔记（深入）”；
- 永远不用
filepath.Join(uploadDir, filename)，先filepath.Clean(filename)，再检查清理后路径是否仍在目标目录内：strings.HasPrefix(absPath, absUploadDir) - Windows 下要过滤设备名：
CON、AUX、NUL等，否则os.OpenFile("CON.jpg", ...)会静默失败或重定向到控制台 - Linux 下
\x00会导致os.OpenFile截断路径，必须提前用bytes.Contains([]byte(filename), []byte{0})检查并拒绝 - 最稳妥做法：彻底丢弃原始
filename，用uuid.New().String()+ 白名单扩展名生成新名
上传目录权限与 Web 访问必须隔离
把文件存到 /var/www/static/uploads/ 是高危操作。一旦 Nginx 的 fastcgi_split_path_info 配置错误，或 Apache 开启了 MultiViews，shell.php.jpg 可能被当作 PHP 执行。
- 上传目录应设为 Web server 完全不可达路径，如
/var/uploads/，且属主为 Go 进程用户，权限0750 - Web 访问必须走独立 handler（如
http.ServeFile）或反向代理，并显式禁止脚本执行：location ~ \.(php|py|sh|pl|rb)$ { return 403; } - 图片类文件建议重编码：用
golang.org/x/image解码再编码一次，剥离 EXIF、注释、GIF 隐藏帧等可藏 payload 的区域
真正麻烦的不是某一步没做，而是多层校验之间存在时序差——比如先校验了 MIME，再读文件时被并发修改；或先生成了 UUID 文件名，但保存前目录被符号链接替换。这些边界情况没法靠单点补丁解决，得从 IO 流程设计上切断攻击链路。
