Go语言通过ParseMultipartForm和MaxBytesReader限制文件上传大小，防止内存耗尽。ParseMultipartForm设置请求总大小上限并缓存内存，超限部分存临时文件；结合handler.Size校验单个文件大小，中间件统一限制更高效。
Go语言处理Web表单文件上传时，如果不设置大小限制，可能会导致服务器内存耗尽或遭受恶意攻击。因此，控制文件上传大小是Web服务中必不可少的安全措施。Golang通过标准库net/http中的ParseMultipartForm方法来实现对请求体的解析，并天然支持文件大小限制。
使用 ParseMultipartForm 设置最大内存缓冲
在调用 r.ParseMultipartForm(maxMemory) 时，参数 maxMemory 指定的是在内存中缓存文件内容的最大字节数。如果文件超过这个值，多余部分会自动写入临时磁盘文件。
更重要的是，这个参数也作为整个表单请求（包括所有字段和文件）的总大小上限。一旦超出，解析就会失败。
注意：必须在读取任何表单数据前调用该方法。示例代码：
立即学习“go语言免费学习笔记（深入）”；
func uploadHandler(w http.ResponseWriter, r *http.Request) {
// 设置最大内存为 10MB，同时整个表单不能超过 10MB
const maxMemory = 10 << 20 // 10MB
err := r.ParseMultipartForm(maxMemory)
if err != nil {
if err == http.ErrContentLength {
http.Error(w, "请求体过大", http.StatusRequestEntityTooLarge)
return
}
http.Error(w, "解析表单失败: " + err.Error(), http.StatusBadRequest)
return
}
file, handler, err := r.FormFile("uploadfile")
if err != nil {
http.Error(w, "获取文件失败", http.StatusBadRequest)
return
}
defer file.Close()
// 处理文件，例如保存到本地
dst, err := os.Create("./uploads/" + handler.Filename)
if err != nil {
http.Error(w, "创建文件失败", http.StatusInternalServerError)
return
}
defer dst.Close()
io.Copy(dst, file)
fmt.Fprintf(w, "文件 %s 上传成功", handler.Filename)
}
验证单个文件大小
ParseMultipartForm 控制的是整个请求的大小，但有时需要单独限制某个文件的大小。可以在文件读取过程中进行判断。
通过 handler.Size 可获取上传文件的实际大小（单位字节），可在保存前做检查。
示例：限制单个文件不超过 5MB
file, handler, err := r.FormFile("uploadfile")
if err != nil {
http.Error(w, "获取文件失败", http.StatusBadRequest)
return
}
defer file.Close()
const maxFileSize = 5 << 20 // 5MB
if handler.Size > maxFileSize {
http.Error(w, "文件太大，最大允许 5MB", http.StatusRequestEntityTooLarge)
return
}
全局中间件统一限制
若多个接口都需要限制上传大小，可编写中间件统一处理。
中间件在调用具体处理器前拦截请求，检查 Content-Length 或直接限制读取总量。
简单中间件示例：
func limitBodySize(max int64) func(http.Handler) http.Handler {
return func(next http.Handler) http.Handler {
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
r.Body = http.MaxBytesReader(w, r.Body, max)
next.ServeHTTP(w, r)
})
}
}
// 使用方式
r := mux.NewRouter()
r.HandleFunc("/upload", uploadHandler).Methods("POST")
r.Use(limitBodySize(10 << 20)) // 所有请求体不能超过 10MB
http.MaxBytesReader 能有效防止客户端发送过大数据，当超出时返回 413 状态码。
基本上就这些。合理使用 ParseMultipartForm 和 MaxBytesReader，再结合文件大小校验，就能安全地处理文件上传。不复杂但容易忽略细节。
