FormFile 文件类型校验必须结合扩展名与文件头双重验证，仅依赖Content-Type或后缀均不安全；需用io.LimitReader读前512字节，调用http.DetectContentType比对mime.TypeByExtension结果，并限制上传体大小防内存溢出。
为什么 FormFile 读取后文件类型可能失效
上传时浏览器发送的 Content-Type 由前端控制，不可信；服务端仅靠 file.Header.Get("Content-Type") 校验极易被绕过。真实场景中，攻击者可伪造 multipart/form-data 的 header，把恶意二进制文件（如 .php、.exe）伪装成 image/jpeg。必须结合文件头（magic bytes）做二次校验。
用 http.MaxBytesReader 防止内存溢出再读取前 512 字节
直接调用 file.Open() 得到 *os.File 后用 io.ReadFull 读头，若用户上传超大文件（如 2GB 视频），会阻塞并占用大量内存。正确做法是在解析 multipart 时就限制读取上限：
ctx.Request().MultipartForm = nil // 强制重新解析 // 用 MaxBytesReader 包裹 Request.Body，限制最多读 512 字节用于检测 limitedBody := http.MaxBytesReader(ctx.Response(), ctx.Request().Body, 512) ctx.SetRequest(ctx.Request().WithContext(context.WithValue(ctx.Request().Context(), echo.ContextKeyRequest, limitedBody)))
更稳妥的做法是：在 echo.MultipartForm 解析前，先用 ctx.FormFile() 获取 *multipart.FileHeader，再用 header.Open() 打开流，配合 io.LimitReader 读前 N 字节。
校验逻辑必须同时检查 mime.TypeByExtension 和 http.DetectContentType
只依赖扩展名或只依赖 content-type 都不安全。正确顺序是：
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
- 从
file.Filename提取后缀，用mime.TypeByExtension()得到预期类型（如.png → "image/png"） - 用
file.Open()打开文件句柄，用io.LimitReader(f, 512)读取前 512 字节 - 传给
http.DetectContentType()得到实际探测类型（基于 magic bytes） - 比对两者是否匹配，且白名单内（如只允许
"image/jpeg","image/png","application/pdf"）
注意：http.DetectContentType 只能识别常见类型，对 WebP、AVIF 等较新格式可能返回 "application/octet-stream"，需额外用库（如 golang.org/x/image/webp）补充判断。
在 Echo 中注册自定义中间件统一拦截非法文件
不要在每个 handler 里重复写校验逻辑。写一个中间件，在 ctx.FormFile() 调用前介入：
func FiletypeValidator(allowedTypes map[string]bool) echo.MiddlewareFunc {
return func(next echo.Handler) echo.Handler {
return func(c echo.Context) error {
if c.Request().Method != "POST" && c.Request().Method != "PUT" {
return next(c)
}
if err := c.Request().ParseMultipartForm(32 << 20); err != nil {
return echo.NewHTTPError(http.StatusBadRequest, "invalid form")
}
for _, fh := range c.Request().MultipartForm.File {
for _, file := range fh {
if err := validateFileType(file); err != nil {
return echo.NewHTTPError(http.StatusBadRequest, err.Error())
}
}
}
return next(c)
}
}
}
关键点：必须在 ParseMultipartForm 后立即遍历 MultipartForm.File，否则后续调用 ctx.FormFile() 会触发二次解析，导致 body read error: multipart: NextPart: bufio: buffer full 错误。
复杂点在于：Echo 默认不缓存 multipart 数据，一旦 body 被读过一次（比如日志中间件已读），ParseMultipartForm 就会失败。所以文件类型校验中间件必须放在所有可能读 body 的中间件之前，且不能依赖 c.Request().Body 原始流。
