c.FormFile 是唯一正确入口，c.PostForm 拿不到文件内容且不触发 multipart 解析；c.SaveUploadedFile 存在路径遍历、目录未检查、无法前置校验三大风险；大文件上传需调整 MaxMultipartMemory 和超时配置。
c.FormFile 是唯一正确入口，c.PostForm 拿不到文件内容，也根本不会触发 multipart 解析。
为什么 c.PostForm("file") 总是返回空字符串？
因为 c.PostForm 只处理 application/x-www-form-urlencoded 或纯文本字段，对 multipart/form-data 中的文件字段完全无视。它不解析 multipart body，也不读取二进制流——所以你拿到的永远是空字符串或默认值，且无错误提示。
必须用 c.FormFile("file")，它才会：
- 首次调用时触发整个 multipart body 的解析
- 返回
*multipart.FileHeader，含Filename、Size、Header等元信息 - 后续再调用同名字段会返回
nil, error
字段名必须和 HTML 表单中 <input type="file" name="avatar"> 的 name 属性完全一致，大小写敏感。
立即学习“go语言免费学习笔记（深入）”；
c.SaveUploadedFile 的三个隐藏风险
它看似一行搞定，但实际绕过了所有可控环节：
-
文件名未过滤：前端传
../../etc/passwd会直接写入系统路径（路径遍历） -
目标目录未检查：若
./uploads不存在，SaveUploadedFile会静默失败并返回open ./uploads/xxx: no such file or directory - 无法前置校验：不能在保存前检查 MIME 类型、图片尺寸、是否含恶意 payload（比如木马图片）
更安全的做法是手动打开流 + 校验 + 写入：
file, err := c.FormFile("file")
if err != nil {
c.AbortWithStatusJSON(400, gin.H{"error": "no file received"})
return
}
src, err := file.Open()
if err != nil {
c.AbortWithStatusJSON(500, gin.H{"error": "failed to open file"})
return
}
defer src.Close()
<p>// 此处插入校验逻辑：size、MIME、magic bytes...
if file.Size > 10<<20 { // 10MB
c.AbortWithStatusJSON(400, gin.H{"error": "file too large"})
return
}</p><p>dst, err := os.Create("./uploads/" + sanitizeFilename(file.Filename))
if err != nil {
c.AbortWithStatusJSON(500, gin.H{"error": "failed to create file"})
return
}
defer dst.Close()</p><p>io.Copy(dst, src) // 或用 io.CopyN + limit reader 做流控
大文件上传必调的两个配置项
默认 32MB 限制和 60 秒超时，在上传视频或 ZIP 包时几乎必然失败。
r.MaxMultipartMemory = 128 ：单位是字节，设为 <code>128 比硬写 <code>134217728更可读-
http.Server{ReadTimeout: 10 * time.Minute}：Gin 默认不设 HTTP 超时，需显式包装启动逻辑
别忘了反向代理层（如 Nginx）也要同步调整：
client_max_body_size 128Mproxy_read_timeout 600
否则请求会在到达 Gin 前就被 Nginx 中断，后端收不到任何数据，前端卡死无响应。
前端表单与 curl 测试的最小可行写法
HTML 表单必须带 enctype="multipart/form-data"，且 name 和后端一致：
<form action="/upload" method="post" enctype="multipart/form-data"> <input type="file" name="file"> <input type="submit"> </form>
curl 测试命令要省略 Content-Type 头——curl 自动加才对，手动加反而容易出错：
curl -X POST http://localhost:8080/upload \ -F "file=@./test.pdf"
如果同时传文本字段（如 user_id），用 c.PostForm("user_id") 即可，它和 c.FormFile 共存无冲突。
真正麻烦的从来不是“怎么传”，而是“传进来之后怎么不被绕过校验、不被写坏磁盘、不被超时掐断”。每个 c.FormFile 调用背后，都该有一段明确的路径净化、类型判断和流控逻辑。
