Iris 的 MaxRequestBodySize 配置常失效，因其仅在首次调用 c.Request().Body 前生效；一旦中间件或解析逻辑（如 ParseForm、Logger、ReadJSON）提前读取 body，原始 Body 即被消耗，限流失效；必须手动用 http.MaxBytesReader 在首个可能读 body 的逻辑前统一包装 r.Body。
Iris 框架本身不自动限制上传大小，必须手动在请求体被读取前用 http.MaxBytesReader 包装 r.Body，否则所有配置（如 MaxRequestBodySize）都会失效。
为什么 MaxRequestBodySize 配置经常不生效
Iris 的 MaxRequestBodySize 仅在首次调用 c.Request().Body 前起作用。一旦任何逻辑提前读取了 body（比如 c.ReadJSON()、c.FormValue()、iris.Logger 启用了 LogRequestBody: true、JWT 中间件里调了 r.ParseForm()），原始 r.Body 就被消耗完毕，后续限流完全失效。
- 常见踩坑点：自定义中间件中无意识调用
io.ReadAll(r.Body)或r.ParseForm() - Logger 中间件若开启
LogRequestBody，会在路由匹配前就完整读取并缓存 body - 业务 handler 中直接用
json.NewDecoder(c.Request().Body).Decode()，没手动套限流 -
c.MultipartReader()或c.FormFile()调用前，r.Body未被http.MaxBytesReader包装
必须用 http.MaxBytesReader 手动包装 r.Body
Iris 不提供开箱即用的全局 body 限流 wrapper，你得自己在中间件或 handler 开头显式包装，且顺序必须严格：在任何可能读 body 的逻辑之前执行一次。
Pandas 配置文件报告生成器
下载
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 推荐统一放在中间件里，注册时确保它排在 Logger、JWT、权限等中间件之前
- 示例中间件写法：
func bodyLimitMiddleware(max int64) iris.Handler {
return func(ctx iris.Context) {
ctx.Request().Body = http.MaxBytesReader(ctx.ResponseWriter(), ctx.Request().Body, max)
ctx.Next()
}
}
- 全局统一限流（如所有接口 ≤10MB）：
app.Use(bodyLimitMiddleware(10 - 路由级差异化（如
/upload放宽到 50MB）：app.Post("/upload", uploadHandler).Handle(bodyLimitMiddleware(50
ParseMultipartForm 和文件级校验不能替代请求体限流
http.MaxBytesReader 控制的是整个请求体（含文本字段 + 所有文件），而 r.ParseMultipartForm(32 的参数只控制内存缓存部分，超出会自动落盘——它不限制总上传量，攻击者可发一个 1KB 文本字段 + 9.99MB 文件绕过防护。
- 必须组合使用：
http.MaxBytesReader（总大小闸门） +r.ParseMultipartForm（内存缓冲策略） + 循环校验每个FileHeader.Size（单文件/总文件数限制） - 解析前必须调用
r.ParseMultipartForm，否则r.MultipartForm.File为 nil；传 0 会导致全部写入磁盘，失去内存控制 - 校验应基于
FileHeader.Size，而非读取后检查len(bytes)——大文件不能全读进内存 - 前端用
<input name="files" multiple>，后端统一用r.MultipartForm.File["files"]获取切片，天然支持单/多文件
容易被忽略的细节：路径、类型、权限三重过滤
用户提交的 Filename 完全不可信，仅靠扩展名校验极易被绕过。
- 路径过滤：用
filepath.Base(header.Filename)剥离../../../etc/passwd类恶意路径 - MIME 类型验证：读取前 512 字节送入
http.DetectContentType，比对白名单（如image/jpeg,application/pdf） - 保存控制：用
uuid.New().String() + ext重命名，限定保存目录，写入后设权限（如0644），禁止执行位 - 临时目录需确认存在且可写，避免因
os.OpenFile失败导致 panic
真正安全的上传不是“解析完再检查”，而是在 r.Body 被读第一字节前就设好闸门，在 ParseMultipartForm 前就完成总大小拦截，在 FormFile 打开前就完成单文件校验——每一步都得卡在数据流动的上游。
