Go Web 文件上传必须服务端校验：先用 header.Size 和 io.LimitReader 限制大小，再读取 magic bytes 验证格式（如 JPEG 为 0xFF 0xD8），最后清洗文件名防路径遍历。
在 Go Web 开发中，表单文件上传的验证（如限制格式、大小）不能只靠前端，必须在服务端严格校验。Golang 本身不提供开箱即用的文件验证中间件，但借助标准库 net/http 和基础 I/O 操作，可以安全、可靠地实现。
解析 multipart 表单并获取文件头
浏览器上传文件时通常使用 multipart/form-data 编码。Go 的 req.ParseMultipartForm() 会将文件暂存到内存或磁盘，但**在读取全部内容前就应完成基础校验**，避免恶意大文件耗尽资源。
关键做法是：先调用 req.MultipartReader() 或直接使用 req.FormFile() 获取 *multipart.FileHeader，它包含文件名、大小（Size）和原始头信息（可用于检查 MIME 类型）。
-
Header.Size是客户端声明的文件大小（可被伪造，仅作初步过滤） -
Header.Header.Get("Content-Type")提供 MIME 类型（同样不可信，需后续校验） - 真正可靠的类型判断需读取文件前若干字节（magic bytes），而非依赖扩展名或 Content-Type
限制文件大小（服务端硬约束）
必须在读取文件流前设置最大允许字节数，防止 DoS 攻击。推荐两种方式：
立即学习“go语言免费学习笔记（深入）”；
-
全局限制： 在
http.Server中设置MaxRequestBodySize（Go 1.19+）或使用http.MaxBytesReader包裹响应体 -
单请求限制： 用
io.LimitReader(file, maxSize)封装文件流，后续读取超过限制会返回io.EOF
示例片段：
maxSize := int64(5 * 1024 * 1024) // 5MB
file, header, err := r.FormFile("avatar")
if err != nil { return err }
defer file.Close()
if header.Size > maxSize {
return fmt.Errorf("file too large: %d bytes (max %d)", header.Size, maxSize)
}
验证文件格式（基于 Magic Number）
仅检查扩展名（如 .jpg）或 Content-Type 极不安全。应读取文件开头数个字节，比对已知魔数（Magic Number）：
- JPEG：以
0xFF 0xD8开头 - PNG：以
0x89 0x50 0x4E 0x47开头 - GIF：以
0x47 0x49 0x46（"GIF"）开头 - PDF：以
0x25 0x50 0x44 0x46（"%PDF"）开头
操作建议：
- 用
io.ReadFull(file, buf[:n])安全读取前 N 字节（避免 panic） - 将
buf转为[]byte后用bytes.Equal()或bytes.HasPrefix()匹配 - 验证通过后再将文件流重置（如用
file.Seek(0, 0)）以便后续保存
组合校验与错误处理
完整流程应按「大小 → 格式 → 扩展名（辅助）」顺序校验，任一失败立即终止并返回清晰错误（如 HTTP 400）。不要合并多个检查逻辑到一个 if 中，便于定位问题。
常见疏漏点：
- 未关闭
file导致句柄泄漏 - 未重置文件偏移量导致后续读取为空
- 信任
header.Filename直接拼路径，引发目录遍历（应使用path.Base()清洗） - 未设置
http.Error()的正确状态码（如 413 Payload Too Large）
不复杂但容易忽略。
