e.MaxRequestBodySize常不生效，因其调用http.MaxBytesReader的包装必须在任何r.Body读取前完成；若中间件提前调用r.ParseForm()、c.FormFile()或handler绕过绑定直接解码，原始Body已被消费，限流即失效。
为什么 e.MaxRequestBodySize 经常不生效
Echo 的 e.MaxRequestBodySize 确实调用了 http.MaxBytesReader，但它只在请求进入路由匹配前包装 r.Body。一旦中间件或 handler 提前读取了 r.Body（比如调用 c.FormFile()、c.MultipartForm() 或自定义 JWT 中间件里执行 r.ParseForm()），原始 body 就被消费完毕，后续限流直接失效。
常见表现是：上传一个 200MB 文件，接口没报 413，反而卡在 c.FormFile() 后 panic 或 OOM —— 因为限流根本没起作用。
- 所有提前解析 multipart / form 的操作都会触发该问题
-
c.ShouldBind()、c.Bind()内部也会读 body，同样绕过限流 - 用
json.NewDecoder(c.Request.Body).Decode()而不手动套http.MaxBytesReader，等于裸奔
真正有效的限流必须手动放在 handler 开头
对每个需要上传的 endpoint，在 handler 第一行就包装 r.Body，且必须在任何解析逻辑之前：
func uploadHandler(c echo.Context) error {
// ✅ 必须最先执行
c.Request().Body = http.MaxBytesReader(c.Response(), c.Request().Body, 10*1024*1024) // 10MB
<pre class='brush:php;toolbar:false;'>file, err := c.FormFile("video")
if err != nil {
return c.String(http.StatusBadRequest, "no file received")
}
// ...}
注意：10*1024*1024 是字节数，不能写成 "10MB"；值设太小会导致正常大文件上传失败，设太大则失去防护意义。
- 这个限制是 per-handler 的，适合上传接口单独放宽（如 100MB），其他接口保持 2MB
- 若用
c.FormFile()，它内部会调用r.ParseMultipartForm()，所以你必须确保http.MaxBytesReader已先挂载 - 不要依赖
e.MaxRequestBodySize替代这一步，它不是 fallback，而是容易漏掉的假安全感
multipart 场景下只限总大小还不够
攻击者可以构造一个 1KB 文本字段 + 99MB 文件，只要总大小没超限，http.MaxBytesReader 就不会拦截。而 r.ParseMultipartForm(maxMemory) 的 maxMemory 参数只控制内存缓冲区，超出部分自动落盘 —— 它不限制总上传量。
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
正确组合是：
- 先用
http.MaxBytesReader卡死总上传体积（如 50MB） - 再调
c.Request().ParseMultipartForm(8 * 1024 * 1024)，让 ≤8MB 的文件走内存，更大的落盘 - 最后用
c.FormFile()获取句柄，而不是c.FormValue()（后者只读文本字段，且依赖已解析的内存数据）
如果你没显式调 ParseMultipartForm()，Go 默认用 32MB 作为 maxMemory，但这个值仍不拦总大小，仅影响缓存策略。
Nginx 反代时 client_max_body_size 必须同步配置
如果 Echo 前面有 Nginx，而你只改了 Go 层限制，用户上传时看到的 413 错误来自 Nginx，Echo 根本收不到请求，日志里也查不到痕迹。
Nginx 配置示例：
location /upload {
client_max_body_size 100M;
proxy_pass http://backend;
}关键点：
-
client_max_body_size必须 ≥ 后端设定的总大小上限（如 Echo 里设的 100MB） - 单位必须明确，
100M和100MB在 Nginx 中等价，但别写成100（默认是 bytes） - 这个配置要放在具体 location 块里，而不是全局 http 块，避免影响其他轻量接口
最易忽略的是三层防线缺一不可：Nginx（第一道）、http.MaxBytesReader（第二道）、handler 内 file.Size 校验（第三道）。少一层，恶意文件就可能打穿磁盘或耗尽内存。
