BodyLimit中间件在multipart场景下无效，因其仅校验Content-Length声明值，无法拦截“小表单+大文件”组合；真正有效的是http.MaxBytesReader配合ParseMultipartForm内存限制。
BodyLimit 中间件为什么有时返回 413 却拦不住大文件上传
因为 middleware.BodyLimit 只限制 Content-Length 声明值和实际读取字节数，但对 multipart/form-data 中“小表单 + 大文件”组合完全无效。攻击者发一个 1KB 的 title 字段 + 99MB 文件，只要总 Content-Length 没超限（比如设了 "10M"），中间件就放行——而文件后续会落盘，内存不受控。
真正起作用的是两层配合：
-
r.Body = http.MaxBytesReader(w, r.Body, 50 * 1024 * 1024)—— 在任何读取前卡死总上传量 -
r.ParseMultipartForm(8 * 1024 * 1024)—— 控制内存缓存上限，逼大文件走磁盘
否则，BodyLimit("10M") 在 multipart 场景下只是个心理安慰。
BodyLimit 和 MaxBytesReader 混用时谁生效
BodyLimit 是 Echo 封装的中间件，底层调用的就是 http.MaxBytesReader，但它只在 echo.Use() 注册、且未被提前消费 r.Body 时才有效。一旦你在 JWT 验证中间件里写了 c.Request().ParseForm() 或 io.ReadAll(c.Request().Body)，原始 r.Body 就空了，BodyLimit 的包装器根本没机会运行。
所以必须保证：
- 所有自定义中间件避免调用
ParseForm()、ParseMultipartForm()、ReadAll() - 业务 handler 中若绕过
c.FormValue()或c.FormFile()，改用json.NewDecoder(c.Request.Body).Decode()，就得自己套http.MaxBytesReader - 检查是否用了自定义
echo.Echo实例——v4.12+ 默认启用BodyLimit，但手动 new 时可能漏掉echo.DefaultHTTPErrorHandler相关配置
怎么给不同路由设不同大小限制
middleware.BodyLimit 是全局中间件，不支持 per-route 差异化。要实现 /login 限 2MB、/upload 限 100MB，只能放弃 Use()，改用 http.MaxBytesReader 手动包裹每个 handler：
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
e.POST("/login", func(c echo.Context) error {
c.Request().Body = http.MaxBytesReader(c.Response(), c.Request().Body, 2*1024*1024)
// 后续正常绑定
return c.JSON(200, "ok")
})
<p>e.POST("/upload", func(c echo.Context) error {
c.Request().Body = http.MaxBytesReader(c.Response(), c.Request().Body, 100<em>1024</em>1024)
// 必须再 ParseMultipartForm，且 maxMemory 要远小于总限值
if err := c.Request().ParseMultipartForm(8 <em> 1024 </em> 1024); err != nil {
return err
}
file, _ := c.FormFile("file")
return c.SaveToFile(file, file.Filename)
})
注意：这里 http.MaxBytesReader 的第一个参数必须是 c.Response()（即 http.ResponseWriter），不是 c.Response().Writer，否则 panic。
BodyLimit 中间件的 limit 字符串怎么写才合法
BodyLimit 接受类似 "2M"、"100K"、"1G" 的字符串，单位字母必须大写，且只支持 K / M / G / T / P。写成 "2m" 或 "2MB" 会静默失败，中间件不报错但也不生效。
常见错误写法：
-
e.Use(middleware.BodyLimit("2mb"))→ 小写m，无效 -
e.Use(middleware.BodyLimit("2MB"))→ 多了B，无效 -
e.Use(middleware.BodyLimit("2000000"))→ 数字格式不支持，必须带单位
正确写法只有："2K"、"5M"、"1G" 这类。
关键点在于：multipart 场景下，仅靠 BodyLimit 不足以防御恶意上传；它不感知字段与文件的语义差异，而真实攻击永远从这个缝隙钻入。
