Golang文件上传限制需在ParseMultipartForm前设闸门，首要配置http.Server.MaxRequestBodySize（Go1.19+）限制请求体大小防OOM。
在Golang中实现Web表单文件上传限制，核心是控制请求体大小、文件名安全、文件类型与大小校验，并在解析 multipart 表单前就介入拦截。关键不在上传后检查，而是在 ParseMultipartForm 或 FormFile 调用前设好“闸门”。
设置全局请求体大小上限（最前置防线）
HTTP服务器默认不限制请求体大小，恶意用户可发送超大请求耗尽内存或触发 OOM。必须通过 http.Server.MaxRequestBodySize（Go 1.19+）或中间件提前拦截：
- Go 1.19 及以上：直接配置服务器
Addr: ":8080",
Handler: mux,
MaxRequestBodySize: 10 }
- 旧版本可用中间件，在
http.Handler中读取并限制r.Body - 注意：该限制包含所有表单字段（文本+文件），不只是文件部分
限制单个文件大小与数量（解析时控制）
即使总请求体可控，仍需防止用户上传大量小文件或单个超大文件。应在调用 r.ParseMultipartForm 前指定内存阈值和最大文件数：
- 调用
r.ParseMultipartForm(32 表示最多将 32MB 数据暂存内存，超出部分写入临时磁盘文件 - 但更关键的是：解析后检查
r.MultipartForm.File中的文件列表长度和每个文件的Size - 示例逻辑：
http.Error(w, "最多允许上传 5 个文件", http.StatusBadRequest)
return
}
for _, fhs := range r.MultipartForm.File["upload"] {
for _, fh := range fhs {
if fh.Size > 5 http.Error(w, "单个文件不能超过 5MB", http.StatusBadRequest)
return
}
}
}
校验文件名与 MIME 类型（防绕过）
仅依赖前端或 Content-Type 不安全。需结合文件扩展名白名单 + 服务端 MIME 探测：
立即学习“go语言免费学习笔记（深入）”；
- 对
fh.Filename做基础过滤：拒绝../、空字节、控制字符等路径遍历和非法字符 - 使用
mime.TypeByExtension判断扩展名是否匹配预期类型（如.jpg → image/jpeg） - 更可靠方式：用
file.Header读取前 512 字节，调用http.DetectContentType获取真实 MIME - 只接受白名单类型（如
image/png,application/pdf），忽略客户端声明的Content-Type
避免临时文件堆积与资源泄漏
未显式清理的临时文件会持续占用磁盘。Golang 的 multipart.Form 在请求结束时自动清理，但前提是请求正常完成：
- 若处理中途 panic 或提前返回，应确保
defer form.RemoveAll()（如果手动调用了ParseMultipartForm） - 推荐统一用
defer r.MultipartForm.RemoveAll()，放在 handler 开头 - 上传成功后，用
os.Rename或io.Copy将临时文件移出或复制到目标位置，再让系统自动清理
基本上就这些。不复杂但容易忽略——重点是把限制做在“解析前”和“读取前”，而不是等文件全进来再判断。
