Buffalo框架需手动实现文件魔数校验：用io.ReadFull读取前16字节到固定切片，再用bytes.Equal比对二进制魔数，禁用binary.Read和字符串转换；须显式defer f.Close()防止句柄泄漏。
Buffalo 框架本身不内置文件魔数校验逻辑，它依赖 Go 标准库处理 multipart 上传，所以魔数校验必须手动实现——核心就是读取 multipart.File 的前若干字节，用 bytes.Equal 对比预设魔数，**不能用 binary.Read，也不能转字符串比对**。
Buffalo 中如何安全读取上传文件头
Buffalo 的 c.File("file") 返回的是 multipart.File（本质是 io.Reader），但直接调用 Read() 不保证读满，容易截断魔数。必须用 io.ReadFull 配合固定长度切片：
- 分配
head := make([]byte, 16)—— 覆盖 PNG、JPEG、PDF、ZIP 等主流格式所需最大魔数长度 - 调用
_, err := io.ReadFull(f, head[:])；若返回io.ErrUnexpectedEOF，说明文件太小，可降级只比前 4 字节 - 禁止用
f.Read(head)或bufio.NewReader(f).Read(head)，它们不报错也不填满，会导致静默错配
Golang 魔数比对的常见错误写法
以下写法在 Buffalo（或任何 Go HTTP 服务）中都不可靠：
Buffalo框架 1.0.1
下载
Buffalo框架 1.0.1 版本源码包下载，适合需要错误处理改进、依赖更新、render.Download 注释和 request logger 调整的 v1 项目。
-
binary.Read(f, binary.BigEndian, &magicUint32)：把0x89 0x50 0x4E 0x47解成整数后顺序反转，PNG 魔数永远比不上 -
string(head[:4]) == "\x89\x50\x4E\x47"：UTF-8 编码会篡改二进制，\x89不是合法 UTF-8 字符，转字符串后内容已损坏 - 只读 2 字节判断 JPEG：
FF D8是基础签名，但某些 JPEG 变体以FF D8 FF E0或FF D8 FF E1开头，漏掉后两位可能误判
Buffalo 中推荐的校验代码片段
在 action handler 里嵌入这段逻辑即可，无需额外依赖：
f, err := c.File("avatar")
if err != nil {
c.Error(400, errors.New("no file provided"))
return
}
defer f.Close()
head := make([]byte, 16)
_, err = io.ReadFull(f, head[:])
if err != nil {
if err == io.ErrUnexpectedEOF {
c.Error(400, errors.New("file too small for magic check"))
} else {
c.Error(500, err)
}
return
}
// PNG: 89 50 4E 47
if bytes.Equal(head[:4], []byte{0x89, 0x50, 0x4E, 0x47}) {
// OK
} else if bytes.Equal(head[:3], []byte{0xFF, 0xD8, 0xFF}) {
// JPEG (至少匹配前3字节，覆盖常见变体)
} else {
c.Error(400, errors.New("invalid file type"))
return
}
注意：Buffalo 的 c.File() 在调用后会自动调用 Close() 吗？不会。你必须显式 defer f.Close()，否则文件句柄泄漏；另外，io.ReadFull 会移动文件偏移，后续再读取内容需重置或重新打开。
