Go net/http MaxBytesReader 如何限制上传体积：超限响应与连接处理

上传接口最容易被忽略的风险，不是单个文件会不会保存成功，而是请求体在解析之前已经把内存和处理时间吃掉了。Go 的 net/http.MaxBytesReader 适合放在处理函数的入口：它把 Request.Body 换成带上限的可关闭读取器，超过限制时返回 *http.MaxBytesError，服务端再决定返回什么状态。

先限制 Request.Body，再调用 ParseMultipartForm 或读取文件；超限分支判断 errors.As 得到的 MaxBytesError，不要把所有解析错误都当成客户端超限。

为什么上传限制必须早于 ParseMultipartForm

一个典型的上传处理顺序是：先拿到 Request.Body，再交给 ParseMultipartForm 拆分字段和文件。如果限制放在解析之后，解析器已经读过的字节无法追回，入口保护就失去了意义。

下面的示例把上限设为 2 MiB。这个数字只是业务示例，不代表所有头像或附件都应使用同一阈值。关键在于 MaxBytesReader 出现在解析调用之前。

const maxUpload = 2 

这里有两个清晰的控制点：Request.Body 先进入 MaxBytesReader，然后才到 ParseMultipartForm；解析失败后，errors.As 将超限错误分到 MaxBytesError 分支，其余格式错误走 400。

MaxBytesReader 超限时到底返回什么

它和 io.LimitReader 的用途相近，但契约不同：返回值是 io.ReadCloser，调用 Close 会关闭底层读取器；超过限制继续读取时会返回非 nil 错误，错误类型是 *http.MaxBytesError。

因此，判断不能只比较字符串。用 errors.As 更稳妥，也能拿到 Limit 字段，方便日志记录本次接口配置了多大的上限。

var tooLarge *http.MaxBytesError
if errors.As(err, &tooLarge) {
    log.Printf("request body exceeds limit=%d", tooLarge.Limit)
    http.Error(w, "upload too large", http.StatusRequestEntityTooLarge)
    return
}

官方源码中，超限错误的文本固定为 http: request body too large。应用层可以给用户更易懂的响应，但日志分类应优先依据错误类型，而不是依赖这段展示文本。

限制请求体不等于完成上传安全

MaxBytesReader 解决的是请求体上限和资源消耗问题。它不会替你判断扩展名是否可信、文件内容是否真的是图片、目标目录是否允许写入，也不会替你分配用户级磁盘配额。

接口还应在成功解析后检查字段数量、单文件大小、内容类型和业务权限。若要把大文件改成分片上传，应把每片上限、总大小和合并后的校验分别定义清楚，不能只把一个全局数字调大。

三个容易误判的边界

把限制放在读取文件之后

这时保护已经太晚。限制应包住服务端第一次读取请求体的入口，尤其是表单解析、JSON 解码或手动 io.Copy 之前。

把普通 400 和超限 413 混在一起

格式损坏是客户端请求无效，超限是资源边界被触发。两者分开后，监控才能区分攻击式大请求、客户端配置错误和真实的 multipart 格式问题。

返回错误后还继续保存文件

一旦识别出 MaxBytesError，应立即响应并返回。不要继续读取、落盘或进入后续业务流程；已经生成的临时文件也应由清理逻辑负责删除。

相关问题

MaxBytesReader 能限制单个文件吗？

它限制的是整个请求体，不是 multipart 中某一个文件。单文件限制需要在解析后的文件读取阶段另行检查。

为什么不直接使用 io.LimitReader？

MaxBytesReader 针对 HTTP 请求体提供了 ReadCloser、MaxBytesError 和可能关闭连接的服务端行为，更适合放在 HTTP 入口。

超过限制一定会自动断开连接吗？

不应把它当成客户端可见的绝对保证。官方说明是“如果可能”提示 ResponseWriter 关闭连接；应用仍要在超限分支中停止处理并返回明确响应。

小结

Go 上传接口的关键顺序只有一句话：先用 MaxBytesReader 包住 Request.Body，再解析；通过 errors.As 识别 MaxBytesError 后返回 413 并结束流程。体积限制建立了资源边界，类型、权限、临时文件和配额仍需由业务代码补齐。