必须显式设置 r.ParseMultipartForm(maxMemory)，否则无限制导致内存或磁盘耗尽；maxMemory 控制内存缓存上限，超限自动落盘；纯流式处理应跳过该调用，改用 r.MultipartReader()；完整请求体还需用 http.MaxBytesReader 作字节级防护。
Go HTTP 上传时 r.ParseMultipartForm 的大小限制必须显式设置
默认情况下，http.Request.ParseMultipartForm 不设限，会把整个 multipart body 全部读入内存（甚至临时磁盘），极易被恶意大文件打满内存或填满磁盘。不调用它或不设参数，不等于“没限制”——而是等于“无防护”。
必须在调用前用 r.ParseMultipartForm(maxMemory) 显式指定内存缓冲上限（单位字节），否则后续 r.FormFile 或 r.MultipartReader 可能直接 panic 或阻塞。
-
maxMemory是内存中缓存的上限，超过部分自动落盘到os.TempDir()；设为0仍会使用默认值（32MB），不可省略 - 若只想纯流式处理、完全避免内存/磁盘缓存，应跳过
ParseMultipartForm，直接用r.MultipartReader() - 注意：该限制只作用于 form-data 的 value 部分（即文件内容 + 文本字段），不控制整个请求体长度——完整请求头+body 还需额外用中间件限制
用 http.MaxBytesReader 拦截超长请求体（含 header + body）
http.MaxBytesReader 是 Go 标准库提供的底层防护，它包装 http.ResponseWriter 的 ResponseWriter.Body，对整个请求流做字节级截断。这是防止攻击者发送 1GB 垃圾数据绕过 ParseMultipartForm 限制的最后防线。
它必须放在路由处理函数最开头，且包装的是 r.Body，不是响应体：
立即学习“go语言免费学习笔记（深入）”；
func uploadHandler(w http.ResponseWriter, r *http.Request) {
const maxRequestSize = 10 << 20 // 10MB
r.Body = http.MaxBytesReader(w, r.Body, maxRequestSize)
// 后续再 ParseMultipartForm 或读取
}
- 一旦超出，
r.Body.Read()会返回http.ErrBodyReadAfterClose或io.EOF，通常伴随 HTTP 400 响应 - 它不解析 multipart 结构，因此必须在
ParseMultipartForm之前生效，否则 multipart 解析器可能已开始读取并触发 OOM - 不能只靠它替代
ParseMultipartForm的限制——两者职责不同：一个控总长，一个控表单解析行为
校验 Content-Length 头是否可信 & 防止 chunked bypass
攻击者可省略 Content-Length，改用 Transfer-Encoding: chunked 发送流式数据，绕过基于长度的静态检查。Go 的 http.MaxBytesReader 对 chunked 编码依然有效，但你不能依赖 r.ContentLength 做前置判断。
-
r.ContentLength在 chunked 请求中为-1，不可信；不要用它做 if 判断 - 某些代理或负载均衡器可能篡改或删除
Content-Length，需以MaxBytesReader为准 - 若需记录原始大小，应在
MaxBytesReader包装后，用自定义io.Reader统计实际读取字节数（并在读完后检查是否达上限）
文件保存前必须重命名 + 检查 MIME 类型 + 禁用执行权限
用户传来的 filename 字段完全不可信，直接拼路径会导致目录遍历（如 ../../etc/passwd）；仅靠后缀过滤无法防 MIME type spoofing（如把恶意二进制命名为 pic.jpg）。
- 用
filepath.Base()提取原始文件名，再用uuid.New().String()生成存储名，彻底丢弃客户端 filename - 用
file.Header.Open()打开后，读取前 512 字节传给http.DetectContentType，比对白名单（如image/jpeg,application/pdf） - 保存时显式设置文件权限：用
ioutil.WriteFile(path, data, 0644)或os.OpenFile(..., 0644)，确保无执行位（0755是危险的） - 不要用
os.Chmod补救——写入瞬间若被竞态利用，可能短暂存在可执行文件
真正难的不是写对这几行代码，而是在每个 handler 入口都记得调用 MaxBytesReader、记得重命名、记得检测 content-type——漏掉任意一环，上传接口就等于裸奔。安全不是加个中间件就完事，是每个读取动作都要问一句：“这段数据我敢信吗？”
