必须用 request.MultipartReader() 获取原始流，先读前512字节调用 http.DetectContentType 判断真实 MIME 并比对白名单，同时用 io.LimitReader 限制单文件大小、累计字节数控制总上传量，再安全重命名并校验路径后保存。
如何用 net/http 接收并校验上传文件的 MIME 类型和大小
直接读取 multipart/form-data 中的文件头比依赖 Header.Get("Content-Type") 可靠得多——浏览器可能伪造或缺失该字段。Go 的 http.Request.ParseMultipartForm() 会把文件载入内存或临时磁盘，但还没开始校验就已消耗资源。
推荐做法：用 request.MultipartReader() 获取原始流，先读前 512 字节做 http.DetectContentType() 判断真实 MIME，再对比白名单（如 "image/jpeg"、"application/pdf"），同时累计字节数控制总大小（例如 ≤10MB）。
- 别调用
formFile后再校验——此时文件可能已完整写入内存或临时文件 - 用
io.LimitReader包裹原始 part body，避免恶意超大上传耗尽内存 -
http.DetectContentType仅靠魔数识别，对 .docx/.xlsx 等 ZIP 容器类文件返回"application/zip"，需额外检查扩展名或解压头
os.OpenFile 保存前必须验证文件路径是否安全
用户提交的 filename 字段可被篡改，比如传 "../../../etc/passwd" 或 "shell.php\0.jpg"（Windows 下 null 字节截断）。Go 默认不自动清理路径，filepath.Clean() 也不能完全防御嵌套绕过。
实际做法：提取原始文件名后，只保留 basename（用 filepath.Base()），强制添加唯一前缀和安全扩展名（如 uuid.New().String() + ".jpg"），保存到预设的上传目录（如 "./uploads/"），绝不拼接用户输入的完整路径。
立即学习“go语言免费学习笔记（深入）”；
- 禁用
filepath.Join(uploadDir, userFilename)—— 这是典型路径遍历漏洞点 - 保存前用
strings.HasSuffix(cleanName, ".jpg")检查扩展名不够，攻击者可传"x.jpg%00.php"，应以 MIME 校验结果为准 - Linux 下注意
openat()系统调用权限，确保运行用户对上传目录有写权限但无执行权限
并发上传时如何避免临时文件冲突和磁盘爆满
ParseMultipartForm(32 的 <code>maxMemory 参数决定多少数据进内存，超出部分写临时文件。默认使用 os.TempDir()，多请求并发时可能产生大量未清理的 multipart-xxx 文件，尤其当 handler panic 或提前 return 时。
解决方案：显式指定临时目录（如 "./tmp/uploads"），并配合 defer os.RemoveAll("./tmp/uploads") 不可靠（panic 时不一定执行）；更稳妥的是用 io.TempFile 手动创建带超时清理的临时文件，或改用 github.com/gorilla/mux 等支持自定义 multipart store 的库。
- 不要依赖
runtime.GC()清理临时文件——它不负责文件系统资源 - 在 handler 开头用
os.MkdirAll("./tmp/uploads", 0755)确保目录存在，否则ParseMultipartForm会静默失败 - 生产环境务必配定时任务（如 cron）清理超过 1 小时的临时文件，不能只靠 Go 程序自身逻辑
校验失败时如何返回清晰错误且不泄露内部信息
HTTP 状态码选 400 Bad Request 而非 422 Unprocessable Entity 更通用；错误响应体里避免返回具体校验逻辑（如“MIME 类型 image/svg+xml 不在白名单”），防止攻击者探测过滤规则。
建议统一返回 JSON 错误结构：{"error": "file rejected"}，日志中才记录详细原因（如 "invalid MIME: application/x-sh"）。若前端需要提示，可通过独立字段传递模糊分类（如 "reason": "size_too_large"）。
- 别用
http.Error(w, "MIME not allowed", http.StatusBadRequest)—— 明文暴露规则 - 日志中记录
req.RemoteAddr和req.Header.Get("User-Agent")，便于追踪异常上传来源 - 对高频失败 IP 做简单计数限流（如 5 分钟内超 10 次拒绝则 sleep 1s），但别集成复杂中间件，简易系统保持逻辑内聚
真正麻烦的不是读文件或存文件，而是边界情况：空文件、重复字段名、多个同名文件、超长 filename header、multipart boundary 特殊字符……这些不会在 happy path 测试里暴露，得靠真实上传流量和模糊测试才能发现。
