必须先调用 r.ParseMultipartForm()（或 r.ParseForm()）解析 multipart/form-data，否则 r.MultipartForm 为 nil，r.FormFile() 将 panic 或返回空值；不可直接读 r.Body。
Go 语言原生 http 包完全支持文件上传，不需要额外框架——关键在于正确解析 multipart/form-data 请求体，而不是用 Body 直读或误当 JSON 处理。
怎么从 *http.Request 中提取上传的文件
必须调用 r.ParseMultipartForm()（或 r.ParseForm()），否则 r.MultipartForm 为 nil，后续 r.FormFile() 会 panic 或返回空值。常见错误是跳过这步，直接 r.Body 读取原始字节，结果读到的是带 boundary 的完整 multipart 流，无法直接用。
r.ParseMultipartForm(32 中的参数是最大内存缓存大小（此处 32MB），超过此值，多余部分会暂存到临时磁盘文件；设太小会导致频繁落盘，设太大可能 OOM- 若表单中含多个同名文件字段（如
），需用r.MultipartForm.File["files"]获取[]*multipart.FileHeader切片，而非r.FormFile() -
r.FormFile("myfile")内部已调用ParseMultipartForm，但仅限单文件且不支持自定义内存限制，生产环境建议显式调用更可控
multipart.FileHeader 能安全读哪些字段
FileHeader 是元信息结构体，**不能直接当作文件内容**。它的 Size、Filename、Header 可信，但 Open() 返回的 io.ReadCloser 才是真实数据流，且必须 close。
-
Filname是客户端提交的原始文件名，可能含路径（如../../etc/passwd），务必清洗：用filepath.Base()截取纯文件名 -
Size是客户端声明的大小，可被伪造，实际读取时仍需校验（比如写入前检查是否超限） -
Header.Get("Content-Type")是客户端发送的 MIME 类型，不可信，应通过文件头 magic bytes 校验（如用github.com/h2non/filetype） - 忘记
defer f.Close()会导致文件句柄泄漏，尤其并发上传时容易触发 “too many open files” 错误
保存文件到磁盘的最小安全写法
别用 ioutil.WriteFile 直接写——它把整个文件加载进内存，大文件会爆内存。要用流式复制，并设置写入超时和权限控制。
- 先用
os.OpenFile(path, os.O_CREATE|os.O_WRONLY|os.O_TRUNC, 0644)创建文件，显式指定权限，避免继承 umask 导致不可读 - 用
io.CopyN(dst, src, maxFileSize)代替io.Copy，防止恶意超大文件耗尽磁盘 - 写入后立即调用
dst.Sync()确保落盘（尤其对关键业务文件），再dst.Close() - 完整路径拼接用
filepath.Join(uploadDir, safeFilename)，禁止字符串拼接，防目录遍历
真正容易出问题的不是“怎么传”，而是“怎么信”：客户端控制的一切字段（文件名、size、Content-Type、甚至 boundary）都不可信。边界校验、路径净化、MIME 重检、磁盘配额、句柄释放——这些没做全，上传接口就是个定时炸弹。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
