Go image.DecodeConfig 如何先读图片尺寸：流式校验与大文件内存边界

图片上传接口最容易被忽略的一步，是在真正解码前先判断文件有多大、是什么格式。直接调用 image.Decode，服务端会马上进入完整像素解码；面对一张尺寸异常的图片，内存峰值往往比文件本身大得多。Go 的 image.DecodeConfig 可以先读出宽度、高度和格式，让校验逻辑在低成本阶段把不合格输入挡住。

整个流程走流式读取不会加载完整图片数据，返回的`image.Config`结构里直接包含Width、Height两个核心字段，足够覆盖大部分前置校验尺寸的需求。

上传现场：文件只有几百 KB，解码却把内存顶高

假设接口只允许用户上传头像，磁盘上收到的 JPEG 不到 1 MB，但图片尺寸可能是 12000×8000。文件大小看着不大，完整解码后的像素却要占用很可观的内存。这里先别急着把 image.Decode 包进更大的缓存，第一步应该是确认图片声明的尺寸和格式。

先用 DecodeConfig 拿到尺寸，而不是创建完整 image.Image

下面的例子从文件头读取配置，并在宽高超过业务上限时提前拒绝。format 是 Go 已注册的格式名；config.Width 和 config.Height 是后续像素预算的基础。

package main

import (
    "fmt"
    "image"
    _ "image/jpeg"
    _ "image/png"
    "os"
)

const maxPixels int64 = 20_000_000

func inspectImage(path string) error {
    f, err := os.Open(path)
    if err != nil {
        return err
    }
    defer f.Close()

    config, format, err := image.DecodeConfig(f)
    if err != nil {
        return fmt.Errorf("读取图片头失败: %w", err)
    }
    pixels := int64(config.Width) * int64(config.Height)
    if config.Width  maxPixels {
        return fmt.Errorf("图片尺寸不接受: %dx%d", config.Width, config.Height)
    }
    fmt.Printf("format=%s size=%dx%d pixels=%d\\n", format, config.Width, config.Height, pixels)
    return nil
}

这段代码只负责“看门”：它不会返回一个可绘制的 image.Image。对于上传服务，文件字节数、宽高乘积和允许的格式最好同时校验，避免攻击者利用压缩比或异常尺寸绕过单一阈值。

验证结果：格式注册和 Reader 状态是两个容易漏掉的点

在标准库里，image 包本身不主动替所有格式注册解码器。代码里使用 JPEG 或 PNG 时，通常要保留对应的空白导入。否则文件明明是 JPEG，DecodeConfig 仍可能报 image: unknown format。

另一个坑是 Reader 的位置。DecodeConfig 已经读取了识别格式所需的前段数据；如果紧接着把同一个文件句柄交给完整解码，是否能从当前位置继续工作取决于调用链和 Reader 的具体实现。最稳妥的做法是校验通过后重新打开文件，或在明确可回退的内存/文件读取结构上调用 Seek(0, io.SeekStart)。

完整解码放在第二关：尺寸通过后再重新读取

如果业务确实需要缩放或读取像素，可以把“配置检查”和“完整解码”拆成两个阶段。示例中重新打开文件，避免把 Reader 位置当成隐含状态。

func decodeAfterCheck(path string) (image.Image, error) {
    if err := inspectImage(path); err != nil {
        return nil, err
    }

    f, err := os.Open(path)
    if err != nil {
        return nil, err
    }
    defer f.Close()

    img, _, err := image.Decode(f)
    if err != nil {
        return nil, fmt.Errorf("完整解码失败: %w", err)
    }
    return img, nil
}

生产代码还应限制请求体大小，并将解码放进可观测的超时和资源边界内。DecodeConfig 解决的是“先判断元数据”的问题，并不能替代恶意文件检测、格式白名单或完整解码阶段的资源控制。

把验收结果写进测试：超尺寸、未注册格式和正常图片都要覆盖

最小测试集不需要堆很多图片，但要覆盖三种决策：正常图片得到格式和尺寸；超过像素预算时在完整解码前失败；缺少格式注册时能看见明确错误。测试输入可以使用仓库内固定的小样本，避免把线上用户文件带进测试。

常见问题

DecodeConfig 会把整张图片解码到内存吗？

它主要读取格式配置和尺寸，不会返回完整的 image.Image。但它仍会读取输入的一部分，因此不能把 Reader 位置变化完全忽略。

为什么 JPEG 文件会报 unknown format？

常见原因是没有导入 image/jpeg 的注册副作用。使用空白导入后，再调用 image.DecodeConfig 或 image.Decode。

只检查图片文件大小够不够安全吗？

不够。还要检查格式、宽度、高度和像素总数；压缩文件很小，并不代表解码后的资源消耗很小。

总结：先验收元数据，再决定是否进入像素处理

image.DecodeConfig 的价值不在于替代完整解码，而在于把高成本操作往后推。先读取尺寸和格式，结合像素上限做一次廉价筛选；通过后重新读取并执行真正的图片处理，流程更清楚，也更容易在日志和测试中验证。