必须先调用 r.ParseMultipartForm(maxMemory)，否则 FormFile 和 MultipartReader 会失败；maxMemory 应设为合理值（如 32
Go 的 multipart.Form 怎么正确解析多文件？
Go 标准库不自动解析文件字段，必须显式调用 r.ParseMultipartForm()，否则 r.MultipartReader() 或 r.FormFile() 会返回空或错误。常见现象是 nil 文件、http: no such file 或 EOF 错误。
关键点：
r.ParseMultipartForm(32 必须在读取任何文件前调用，参数是内存缓冲上限（如 32MB），超过此值文件将被写入临时磁盘- 不设上限（传 0）会导致全部文件进内存，大文件上传直接 OOM
- 若表单含大量文本字段，该上限也限制整体解析内存占用
req.FormFile() 和 req.MultipartReader() 选哪个？
二者底层共享同一 multipart.Reader，但使用方式不同：前者适合已知字段名的单/多文件；后者适合动态字段名或流式处理。
多文件上传推荐用 req.MultipartReader()，避免反复调用 FormFile() 导致读取偏移错乱：
立即学习“go语言免费学习笔记（深入）”；
mr, err := r.MultipartReader()
if err != nil {
http.Error(w, err.Error(), http.StatusBadRequest)
return
}
for {
part, err := mr.NextPart()
if err == io.EOF {
break
}
if err != nil {
http.Error(w, err.Error(), http.StatusBadRequest)
return
}
if part.FormName() == "files" { // 字段名为 files 的多文件
dst, _ := os.Create("/tmp/" + part.FileName())
io.Copy(dst, part)
dst.Close()
}
}
保存文件时怎么防止路径遍历和覆盖？
part.FileName() 可被客户端任意伪造，直接拼接 os.Create() 路径等于开放任意文件写入。
必须做两件事：
【极品模板】出品的一款功能强大、安全性高、调用简单、扩展灵活的响应式多语言企业网站管理系统。 产品主要功能如下： 01、支持多语言扩展（独立内容表，可一键复制中文版数据） 02、支持一键修改后台路径； 03、杜绝常见弱口令，内置多种参数过滤、有效防范常见XSS； 04、支持文件分片上传功能，实现大文件轻松上传； 05、支持一键获取微信公众号文章（保存文章的图片到本地服务器）； 06、支持一键
- 用
filepath.Base()提取纯文件名，丢弃所有路径成分 - 生成唯一文件名（如加时间戳或 UUID），避免同名覆盖或竞争条件
- 检查
part.Header.Get("Content-Type")做基础 MIME 类型校验（但不可替代后端扫描）
示例安全保存逻辑：
filename := filepath.Base(part.FileName())
if filename == "" {
continue // 忽略空文件名
}
ext := filepath.Ext(filename)
safeName := fmt.Sprintf("%s_%d%s", strings.TrimSuffix(filename, ext), time.Now().UnixNano(), ext)
dst, _ := os.Create("/upload/" + safeName)
为什么本地测试能传，部署到 Nginx 后就失败？
Nginx 默认限制请求体大小（client_max_body_size），且可能缓冲整个请求再转发，导致 Go 服务收到的是完整 body，但超时或截断由 Nginx 决定。
需同步检查三处：
- Nginx 配置中
client_max_body_size（如设为50m） - Go 中
ParseMultipartForm()的内存上限是否 ≤ Nginx 限制 - Nginx 的
client_body_timeout是否过短，大文件上传超时被中断
另外，Nginx 若开启 proxy_buffering on，可能影响流式上传进度反馈——这种场景应关掉缓冲或改用分片上传。
真正麻烦的是并发上传时临时目录争用和磁盘满，os.TempDir() 默认路径没做隔离，多个请求可能撞上同一个临时文件名，建议用 os.MkdirTemp("", "upload-") 单独管理。
