Go 文件上传怎么限制大小并保存原始文件名

文件上传接口最容易留下两个隐患：请求体没有硬上限，攻击者可以用超大 multipart 请求消耗资源；服务端直接把 FileHeader.Filename 拼进路径，可能覆盖文件或把路径片段带入存储目录。稳妥做法是把限制拆成两层：用 http.MaxBytesReader 限制整个请求体，用 ParseMultipartForm 设定文件部件的内存阈值；原始文件名只作为清洗后的元数据保存，磁盘文件使用服务端生成名。

先把上传请求限制在边界内

MaxBytesReader 包住的是整个 HTTP body，包含 multipart 的边界、字段和文件内容。下面把单次请求限制为 20 MiB，而 ParseMultipartForm(2 只允许文件部件优先使用约 2 MiB 内存，超过部分由 multipart 解析器落到临时文件。后一个参数不是“允许上传 2 MiB”。

const maxUpload = 20 

如果只设置 ParseMultipartForm，请求体仍可能在解析前把入口资源压住；如果只设置 MaxBytesReader，又失去了对内存与临时文件分配的明确预期。超限时不要继续调用 FormFile，直接返回即可。

读取文件并清洗原始文件名

通过 r.FormFile("file") 取得文件流和 FileHeader。FileHeader.Filename 来自客户端，适合做“用户上传时的名称”记录，却不适合直接成为服务端路径。先用 filepath.Base 去掉目录片段，再检查空名称和长度；需要更严格时，还可以拒绝控制字符。

file, header, err := r.FormFile("file")
if err != nil {
    http.Error(w, "缺少 file 文件字段", http.StatusBadRequest)
    return
}
defer file.Close()

originalName := filepath.Base(header.Filename)
if originalName == "." || originalName == "" || len([]rune(originalName)) > 120 {
    http.Error(w, "文件名无效", http.StatusBadRequest)
    return
}

这里保留的是清洗后的原始名，不是未经处理的输入。数据库或对象存储元数据可以保存 originalName，前端下载时再把它作为展示名；不要让它参与目录拼接。

校验扩展名并使用服务端存储名

扩展名校验解决的是业务类型边界，不等于文件内容鉴别。先用 filepath.Ext 取后缀并转成小写，只开放业务需要的集合。真正写盘时生成独立的存储名，原始名称和存储路径分别记录。

ext := strings.ToLower(filepath.Ext(originalName))
allowed := map[string]bool{".jpg": true, ".jpeg": true, ".png": true, ".pdf": true}
if !allowed[ext] {
    http.Error(w, "不支持的文件类型", http.StatusUnsupportedMediaType)
    return
}

storedName := strconv.FormatInt(time.Now().UnixNano(), 10) + ext
storedPath := filepath.Join(uploadDir, storedName)
dst, err := os.Create(storedPath)
if err != nil {
    http.Error(w, "无法保存文件", http.StatusInternalServerError)
    return
}
defer dst.Close()
if _, err := io.Copy(dst, file); err != nil {
    http.Error(w, "文件写入失败", http.StatusInternalServerError)
    return
}
// 持久化 originalName、storedName、storedPath 等元数据。

示例用时间纳秒生成演示名，真实服务更适合使用随机 ID 或业务主键，并在数据库层给存储名加唯一约束。若允许图片或文档进入公网下载，还要增加内容探测、病毒扫描和权限控制，这些不能靠后缀白名单替代。

把失败边界和检查清单补齐

上线前至少确认四件事：限制发生在解析前；临时目录可控且可清理；原始名称不进入路径；写入失败不会留下“已成功”的数据库记录。对重要文件还应检查 dst.Close() 返回值，并把上传大小、扩展名、存储名和请求 ID 写入审计日志。

相关问题

ParseMultipartForm 的参数是不是文件大小限制？

不是。它主要控制文件部件优先使用多少内存，整个请求的硬上限应由 MaxBytesReader 设置。

为什么不直接使用 header.Filename 保存文件？

因为它由客户端提供，可能带目录片段、同名覆盖和不符合业务规则的后缀。可以保存清洗后的名称做元数据，但物理存储名应由服务端生成。

只校验扩展名够不够？

不够。扩展名只能做第一层业务筛选；公开下载或高风险场景还需要内容类型探测、病毒扫描和访问权限控制。