核心是“前置拦截+分层设防+自动清理”：一、请求体总大小须在最外层设限，如Nginx配client_max_body_size、Spring Boot设max-request-size；二、单文件大小与并发数需单独控制，防止小文件洪流压垮系统；三、按用户/IP限流并校验分片行为，防御高频攻击；四、存储隔离鉴权，重命名文件、禁用直接访问、下载走权限校验、临时文件定时清理。
限制大文件上传和高频请求，核心是“前置拦截+分层设防+自动清理”。不是等文件传完再检查，而是在请求进入第一刻就设好闸门；不是只拦大小，而是同步控频率、验内容、管存储。
一、请求体总大小必须在最外层设限
这是防止内存耗尽的第一道防线。不同服务端实现方式不同，但原则一致：在解析 multipart 之前就拒绝超限请求。
- Nginx：配置 client_max_body_size 10G（单位可为m/g），否则直接返回 413 错误
- Spring Boot：用 spring.servlet.multipart.max-request-size=20MB 控制整个请求（含多个文件+表单字段）
- Golang（1.19+）：直接设置 http.Server.MaxRequestBodySize = 10（10MB），旧版本用 http.MaxBytesReader 包装 request.Body
- PHP：修改 post_max_size 和 upload_max_filesize，二者需匹配且大于业务预期
二、单文件与并发数要分开控制
总大小限制不能替代单文件或数量限制。攻击者可能上传 100 个 50MB 的 zip 文件，总和未超限，但已压垮磁盘或连接数。
- Spring Boot 需额外配 spring.servlet.multipart.max-file-size=5MB
- Golang 中调用 r.ParseMultipartForm(32 后，遍历 r.MultipartForm.File 检查文件个数和每个 fh.Size
- Node.js（Multer）：用 limits: { fileSize: 5 * 1024 * 1024, files: 5 }
- 所有场景都应校验 Content-Length 头是否合理，防止空字节填充绕过
三、上传频率与连接行为必须限流
高频小请求比单次大上传更隐蔽、更具杀伤力，尤其配合分片上传时易被滥用。
- 按用户/IP 做令牌桶限流：例如 每分钟最多 3 次上传请求，超限返回 429
- 分片接口额外加校验：同一文件的分片 ID 必须连续、总数有限（如 ≤1000）、间隔时间不能过长（如 >15 分钟未续传则丢弃）
- 慢速上传防御：Nginx 设置 client_body_timeout 60s，Tomcat 配置 connectionUploadTimeout，避免连接长期挂起
- 临时分片文件写入前，先生成唯一 upload_id 并记录到 Redis，超时未合并则自动删除
四、存储与访问必须隔离鉴权
即使上传成功，若存储不当或暴露路径，仍会导致资源被持续占用或恶意利用。
- 上传目录禁止 Web 直接访问：Nginx 中用 location /uploads/ { deny all; }，或放在 webapp 外部独立路径
- 文件名强制重命名：用 UUID + 时间戳哈希，不保留原始名，杜绝路径穿越（如 ../.htaccess）
- 下载必须走后端接口：校验用户权限、token 有效性、文件归属，禁用裸 URL 访问
- 临时文件定时清理：设置 超过 24 小时未合并的分片自动删除，生产环境建议用 cron 或 Quartz 触发清理任务
