上传路径配置须在 echo.MultipartForm 解析前完成，需手动确保父目录存在、校验路径安全性、限制根目录并调优解析参数。
上传路径配置必须在 echo.MultipartForm 解析前完成
Echo 本身不直接管理上传路径，路径控制实际发生在你读取 *multipart.FileHeader 后调用 .Save() 时。如果你在 c.FormFile() 之后才拼接目标目录，但目标父目录不存在，.Save() 会直接报 no such file or directory 错误，而不是自动创建。
实操建议：
Echo框架 5.1.0
下载
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
- 务必在调用
.Save()前用os.MkdirAll(targetDir, 0755)确保父路径存在 - 不要依赖 Echo 自动处理路径——它只负责解析表单，不负责落地存储
- 推荐把路径拼接和目录创建封装成独立函数，例如：
getUploadPath(filename string) string和ensureUploadDir(path string) error
c.FormFile() 返回的 *multipart.FileHeader 不含完整路径
c.FormFile("file") 只返回文件元信息（Fh.Filename、Fh.Size、Fh.Header），Fh.Filename 是客户端原始文件名（可能含路径，如 ../etc/passwd），**不能直接拼进 os.OpenFile() 或 .Save()**，否则有路径遍历风险。
实操建议：
- 始终用
path.Base(Fh.Filename)提取干净文件名 - 手动拼接目标路径：
filepath.Join(uploadRoot, secureFilename) - 若需保留子目录结构（如按日期分目录），应由服务端生成，而非信任客户端传入的路径
- 避免使用
Fh.Filename直接构造os.Create()路径，这是常见越权漏洞点
生产环境必须限制上传路径根目录，防止任意写入
如果 uploadRoot = "/var/uploads"，而你又没校验 filepath.Join(uploadRoot, userSuppliedName) 是否仍落在该目录下，攻击者可通过构造 ../../../.bashrc 绕过，导致文件写入系统关键位置。
实操建议：
- 用
filepath.EvalSymlinks()+strings.HasPrefix()双重校验最终路径是否仍在白名单根目录内 - 示例校验逻辑：
absPath, _ := filepath.Abs(finalPath) if !strings.HasPrefix(absPath, uploadRootClean) { return errors.New("illegal upload path") } - 设置
uploadRoot为绝对路径，并提前filepath.Clean()一次，避免末尾/../干扰 - Linux 下注意
uploadRoot目录权限：确保运行 Echo 的用户有写权限，但无执行权限（除非需要 CGI）
大文件上传需配合 c.Request().ParseMultipartForm() 调优
默认情况下，Go 的 ParseMultipartForm 会将小于 32MB 的文件缓存在内存，超限则落盘到 os.TempDir()。如果你没显式调用，Echo 在首次访问 c.FormFile() 时会自动触发，默认 32MB 限制可能不符合业务需求，且临时目录不可控。
实操建议：
- 在路由 handler 开头主动调用：
c.Request().ParseMultipartForm(10 （即 10MB 内存缓存） - 通过
http.MaxBytesReader包裹c.Request().Body控制总请求体上限，防爆内存 - 若需自定义临时文件目录（如挂载了高速 SSD），需在调用
ParseMultipartForm前设置：c.Request().MultipartReader = func() (*multipart.Reader, error) { ... }（较复杂，一般改os.Setenv("TMPDIR", "/mnt/ssd/tmp")更直接）
filepath.Join 就完事的，filepath.Clean、filepath.Abs、权限隔离、临时目录管控，每个环节漏掉一个都可能让上传功能变成后门入口。 
