Go multipart.Reader 怎么限制表单字段占用内存

处理 multipart/form-data 时，真正稳妥的做法不是只给 multipart.Reader 填一个数字，而是把限制拆成三层：先用 http.MaxBytesReader 限制整个 HTTP 请求体，再用 Reader.ReadForm(maxMemory) 控制表单解析的内存预算；如果某个文本字段必须有精确上限，就改用 NextPart 配合 io.LimitReader 单独读取。

官方文档：https://pkg.go.dev/mime/multipart

先把 multipart 的三层边界分开

我排查上传接口内存上涨时，最容易误判的是把 maxMemory 当成“请求最多允许这么多字节”。实际上，MaxBytesReader 保护的是入口 body；ReadForm 负责把字段和文件整理成 Form；手动读取 part 才能给某一个文本字段设置独立硬上限。

入口先限制整个请求体

如果接口允许最多 8 MiB 的 multipart 请求，应在创建 multipart.Reader 之前包住 r.Body。这样边界发生在解析器外层，文件 part、普通字段和 MIME 头都不会绕过总量限制。

func upload(w http.ResponseWriter, r *http.Request) {
    const maxBody = 8 

这里的 2 不是“所有字段最多 2 MiB”的承诺。官方实现会为非文件字段保留额外空间，文件内容超过内存预算时可能落到临时文件；因此它更适合做解析阶段的总预算，而不是产品字段校验。

ReadForm 适合控制解析预算，不适合替代字段校验

ReadForm 只解析 Content-Disposition: form-data 的整张表单。普通文本值需要留在内存里，超过可用预算时返回 ErrMessageTooLarge；文件 part 则会根据预算保存在内存或临时文件。调用成功后要记得 RemoveAll，否则临时文件的生命周期就没有被业务收口。

如果你的需求是“描述字段最多 64 KiB、备注字段最多 256 KiB”，直接调小 ReadForm 会误伤整张表单，也无法告诉调用方具体是哪一个字段超限。这时应改为逐个 part 读取。

单个文本字段用 limit+1 读取

手动读取时，不能只调用 io.LimitReader(part, limit) 然后把读到的内容当作合法值，因为到达限制时它只会表现为 EOF。多读一个字节，才能区分“刚好读完”和“实际超过上限”。

func readTextPart(part *multipart.Part, limit int64) (string, error) {
    if part.FileName() != "" {
        return "", fmt.Errorf("不接受文件字段 %q", part.FormName())
    }

    // 多读一个字节，用来确认字段是否真的超过 limit。
    data, err := io.ReadAll(io.LimitReader(part, limit+1))
    if err != nil {
        return "", err
    }
    if int64(len(data)) > limit {
        return "", fmt.Errorf("字段 %q 超过 %d 字节", part.FormName(), limit)
    }
    return string(data), nil
}

上层循环通过 mr.NextPart() 取得每个 part，先检查 FormName，再为不同字段传入不同上限。文件字段不要使用这段文本读取函数，而应流式写入受控目录，并单独设置文件大小上限。

按错误来源复查清理动作

出现“上传被拒绝”时，先看错误类型：*http.MaxBytesError 说明整个请求太大；multipart.ErrMessageTooLarge 说明表单解析阶段的内存预算不够；自定义字段错误则说明某一个文本字段超过业务上限。三者不要统一返回成“文件太大”，否则排障时会继续改错参数。

最后检查三件事：请求体由处理函数关闭，ReadForm 成功后调用 Form.RemoveAll，手动读取失败时不把未完整消费的 part 当成成功。这样既能挡住超大 body，也能让内存预算和业务字段规则各自保持清晰。

相关问题

ReadForm(0) 是不是完全不占内存？

不是。普通字段仍需要存储，官方实现还为非文件数据保留额外空间；它不是零内存模式。

ReadForm 能限制整个上传文件大小吗？

不能把它当作请求体硬上限。入口用 MaxBytesReader，单个文件再用流式复制计数或独立限制。

为什么 LimitReader 到 EOF 还要多读一个字节？

因为到达 N 字节后它会返回 EOF，单读 N 字节无法判断输入是刚好 N 还是超过 N；读 N+1 才能发现超限。