Buffalo需手动调用ParseMultipartForm解析multipart/form-data上传，否则MultipartForm为nil；应在handler开头执行ParseMultipartForm(32
Buffalo 框架里怎么接 multipart/form-data 文件上传
Buffalo 默认不自动解析文件上传，ctx.Request().MultipartForm 会是 nil，除非你手动调用 ParseMultipartForm。直接读 ctx.Request().Body 或试图从 ctx.Param 取文件都会失败。
实操上必须在 handler 开头加一行解析逻辑，且注意内存限制：
ctx.Request().ParseMultipartForm(32 —— 这表示最多读 32MB 到内存，超出部分写入临时磁盘；不设或设太小（如 <code>0）会导致http: request body too large- 必须在读取任何表单字段或文件前调用，否则后续
ctx.Request().FormValue或ctx.Request().MultipartForm.File都不可靠 - Buffalo 的中间件（如
render、pop）不影响该行为，但自定义中间件若提前消费了Body（比如日志中间件读了全部字节），也会导致解析失败
如何安全读取上传的文件并保存到磁盘
Buffalo 不提供内置文件存储抽象，得自己处理 *multipart.FileHeader。常见错误是直接用 os.Create 写死路径，忽略目录权限、文件名注入和并发冲突。
关键步骤：
立即学习“go语言免费学习笔记（深入）”；
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 先用
ctx.Request().MultipartForm.File["avatar"]获取*multipart.FileHeader，检查是否为nil或长度为 0 - 对原始文件名做白名单过滤：只保留字母、数字、下划线、短横线，丢弃扩展名外的点（防
../../etc/passwd类路径遍历） - 生成唯一文件名（如用
uuid.NewString()+ 原扩展名），避免覆盖或竞态 - 确保目标目录存在：
os.MkdirAll("./uploads", 0755)，权限别设0777 - 用
fileHeader.Open()得到io.ReadCloser，再io.Copy到os.Create的文件句柄，记得Close()两者
buffalo-pop 模型里存文件路径还是存二进制？
绝大多数场景应该只存相对路径（如 uploads/abc123.png），而不是把整个文件塞进数据库 blob 字段。前者更易备份、CDN 分发、独立服务托管，后者拖慢查询、增加迁移成本、难以做内容校验。
如果非要用数据库存文件：
- PostgreSQL 可用
bytea类型，GORM/Buffalo pop 需手动处理[]byte扫描，且要注意pgx驱动对大对象（LOB）的支持限制 - MySQL 的
MEDIUMBLOB有最大 16MB 限制，超了会报Packet for query is too large - 无论哪种，都得在模型 struct tag 里显式声明类型，例如
Content sql.NullString `db:"content"`不行，得用[]byte并配好扫描逻辑
前端表单和 CSRF 怎么配合不报 403
Buffalo 默认开启 CSRF 保护，而 multipart/form-data 表单若没带 token，会被中间件直接拒绝，返回 403。错误现象是后端日志里看不到 handler 执行痕迹，只有 CSRF token mismatch。
解决方法很简单：
- 模板中必须用
（不是csrf_token），它会渲染成隐藏 input - 不能用 JS 动态拼接表单然后 submit，因为 token 是服务端生成的一次性值；若需 JS 控制，得先
GET /_token接口拿新 token，再塞进 FormData - 如果用了
multipart/form-data但忘了设enctype，浏览器会退化成application/x-www-form-urlencoded，后端收不到文件，也拿不到 token —— 此时看请求头Content-Type就能确认
文件上传真正麻烦的从来不是“怎么传”，而是“传完之后怎么管”：临时文件清理时机、重复上传去重、病毒扫描集成、缩略图生成触发点——这些 Buffalo 都不插手，得你自己在 handler 里串起整条链路。
