Go-Zero文件上传需四重防护：①用http.MaxBytesReader限制总请求体≤2GB；②ParseMultipartForm设32MB内存阈值并defer清理；③遍历FileHeader校验单文件尺寸（如≤10MB）；④用http.DetectContentType+魔数检测真实MIME，剥离路径、UUID重命名、限定保存目录。
在Go-Zero项目中实现安全可控的文件上传，必须同时拦截超大请求体、校验单文件尺寸、识别真实MIME类型——仅靠前端限制或后缀名检查毫无意义，攻击者可轻易绕过。
设置全局请求体大小上限
在handler函数最开头，用http.MaxBytesReader包裹r.Body，这是防止恶意上传打垮服务的第一道铁闸。
这一步必须放在r.ParseMultipartForm之前，否则攻击者可构造超大表单字段绕过限制。
【r.Body = http.MaxBytesReader(w, r.Body, 2*1024*1024*1024) —— 单次请求总大小严格限制为2GB，超出立即返回413错误。
注意：该限制作用于整个HTTP请求体（含所有字段+文件），不是单个文件。
解析多部分表单并控制内存缓冲
调用ParseMultipartForm时传入明确的内存阈值，避免默认行为导致OOM。
执行r.ParseMultipartForm(32 ，表示最多32MB数据保留在内存，超出部分自动落盘到<code>os.TempDir()。
设为0会导致全部写入磁盘，失去内存控制能力；设为过大值（如512MB）可能耗尽服务内存。
【必须紧跟defer r.MultipartForm.RemoveAll()】 —— 否则临时文件不会被清理，持续堆积直至磁盘写满。
统一处理单/多文件并校验尺寸
前端使用<input type="file" name="files" multiple>，后端统一通过r.MultipartForm.File["files"]获取文件切片。
遍历该切片，对每个*multipart.FileHeader执行以下操作：
- 读取
header.Size判断是否超限（例如单文件≤10MB）； - 若超限，立即
http.Error(w, "File too large", http.StatusRequestEntityTooLarge)并continue； - 不依赖
len(fileBytes)做校验——大文件不能全读进内存。
此时header.Size是原始未解压字节数，完全可信。
识别真实文件类型而非后缀名
方法一：用http.DetectContentType检测前512字节
打开文件流后，先读取最多512字节，送入http.DetectContentType，比对白名单（如image/png、application/pdf）。
方法二：结合mimetype库做深度校验
对PDF、Office等复杂格式，额外调用mimetype.Decode解析魔数，防止伪造头部蒙混过关。
校验失败必须立即file.Close()，避免句柄泄漏。
安全保存文件的三步操作
第一步：剥离路径 —— filepath.Base(header.Filename)过滤../../../etc/passwd类恶意路径。
第二步：重命名 —— 使用uuid.New().String()生成唯一前缀，拼接合法扩展名（从MIME推导或白名单映射）。
第三步：限定目录 —— 保存路径必须硬编码为/var/uploads/之类受控目录，禁止用户输入参与路径拼接。
写入时使用os.O_CREATE | os.O_WRONLY | os.O_EXCL标志，防止覆盖已有文件。
