文件类型校验必须在服务端进行，Buffalo的Validate中间件不处理*multipart.FileHeader上传字段，需通过c.MultipartForm().File"file"获取文件头，用Open()读取前512字节并调用http.DetectContentType判断真实MIME类型，同时用path.Ext()校验扩展名，配合MultipartMaxMemory限制内存使用。
文件类型校验必须在服务端做，Buffalo 的 Validate 不处理上传字段
Buffalo 默认的 Validate 中间件只检查结构化表单字段（如 string、int），对 *multipart.FileHeader 类型的上传字段完全跳过。如果你把 ContentType 或 Filename 写进模型并加 valid:"required"，它不会报错——因为 Validate 根本没读到这些值。
真正能拿到文件元信息的地方，是 c.Param("file") 或 c.MultipartForm().File["file"] 返回的 *multipart.FileHeader，它的 Header.Get("Content-Type") 和 Filename 才是校验依据。
- 不要依赖模型 tag 做 MIME 类型校验
- 不要信任前端传来的
content-type字段（可伪造） - 必须用
FileHeader.Open()读取前几百字节做 magic number 检查（见下节）
用 FileHeader.Open() + http.DetectContentType 判断真实 MIME 类型
仅靠 FileHeader.Header.Get("Content-Type") 非常危险：浏览器可能传错，用户可手动构造请求绕过。正确做法是打开文件流，读取前 512 字节，交给 http.DetectContentType 推断。
Buffalo框架 1.0.1 版本源码包下载，适合需要错误处理改进、依赖更新、render.Download 注释和 request logger 调整的 v1 项目。
fh, err := c.MultipartForm().File["avatar"][0]
if err != nil {
c.Error(400, errors.WithStack(err))
return
}
file, err := fh.Open()
if err != nil {
c.Error(400, errors.WithStack(err))
return
}
defer file.Close()
buf := make([]byte, 512)
_, _ = file.Read(buf) // 忽略读取不足 512 的 error，DetectContentType 能处理
mimeType := http.DetectContentType(buf)
allowed := map[string]bool{
"image/jpeg": true,
"image/png": true,
"image/gif": true,
}
if !allowed[mimeType] {
c.Error(400, errors.New("unsupported file type: " + mimeType))
return
}
-
http.DetectContentType只看字节特征，不依赖扩展名或 header - 必须
defer file.Close()，否则文件句柄泄漏 - 如果后续还要保存文件，需重开
fh.Open()（第一次读已移动 offset）
校验扩展名时要用 path.Ext()，别用 strings.Split()
用户上传 report.pdf.exe 时，只检查最后的 .exe 不够；但用 strings.Split(fh.Filename, ".") 取最后一段，会误判为 exe。正确方式是用标准库 path.Ext()，它按 Unix 路径规则解析，对 Windows 风格路径也健壮。
ext := path.Ext(fh.Filename)
switch ext {
case ".jpg", ".jpeg", ".png", ".gif":
// ok
default:
c.Error(400, errors.New("invalid extension: " + ext))
return
}
-
path.Ext("a.b.c.txt")→".txt"，而strings.Split()容易取错 - 注意
path.Ext()返回带点的字符串（如".pdf"），别漏掉 - 扩展名校验只能作为辅助，必须和 MIME 检查配合使用
大文件上传要设 c.Request().MultipartReader() 超时与内存限制
Buffalo 默认不限制 multipart 解析内存，攻击者上传超大文件（如 2GB）可能耗尽服务器内存。虽然校验逻辑本身轻量，但 c.MultipartForm() 会把整个文件载入内存（除非显式流式处理）。
- 在
app.go初始化时设置：a.Use(middleware.DefaultErrorMiddleware)<br>a.Use(middleware.RequestID)<br>a.Use(middleware.PopTransaction)<br>// 加这行<br>a.Use(middleware.MultipartMaxMemory(32 << 20)) // 32MB
- 超时控制要靠
http.Server.ReadTimeout，Buffalo 不提供封装 - 若需支持 >32MB 文件，必须改用
c.Request().MultipartReader()流式解析，并在读取过程中实时校验 MIME 和扩展名
真实场景里，文件类型校验不是孤立步骤——它和内存控制、临时存储路径、病毒扫描、异步处理都耦合。Buffalo 没有开箱即用的上传中间件，每一步都要自己接住。
