mime.typebyextension不能用于安全过滤，因它仅查扩展名映射表、不读文件内容，攻击者将elf可执行体重命名为.jpg即可绕过；传入不带点的扩展名（如"jpg"）返回空字符串易致nil panic，且无法识别无扩展名文件。
仅靠文件后缀或 Content-Type 头过滤特定格式文件，基本不可信；必须结合文件头（magic bytes）检测，且需按场景选对工具。
为什么 mime.TypeByExtension 不能用于安全过滤
它只查扩展名映射表，不读文件内容。攻击者把恶意二进制重命名为 .jpg 就能绕过。
-
mime.TypeByExtension(".jpg")返回"image/jpeg"，哪怕文件实际是ELF可执行体 - 传入不带点的扩展名（如
"jpg"）会直接返回空字符串，容易引发 nil panic - 无法识别无扩展名文件（如上传时被丢掉后缀的
report）
http.DetectContentType 的适用边界与陷阱
它读前 512 字节做 sniffing，比后缀可靠，但规则固定、覆盖有限，对 Office/ZIP 嵌套结构无感知。
- 对
.xlsx、.docx这类 ZIP 容器，通常只返回"application/zip"，而非更精确的"application/vnd.openxmlformats-officedocument.spreadsheetml.sheet" - 若文件开头含 BOM 或空白（如某些 UTF-8 文本），可能误判为
"text/plain" - 必须确保传入字节切片长度 ≥ 实际读取字节数，否则
buffer[:n]可能越界 panic
用 gabriel-vasile/mimetype 精准识别 Office/文档类格式
它专为 ZIP 基础的现代文档设计，能递归解析内部结构（如 [Content_Types].xml），是过滤 .xlsx、.pptx、.odt 的首选。
- 示例：打开
file, _ := os.Open("data.xlsx")后调用mimetype.DetectReader(file)，返回值含完整 MIME 类型 - 支持
mimetype.Add()注册私有模板签名，适合企业定制格式 - 注意：不处理密码加密文档，也不解压——只依赖原始 ZIP 流和关键 XML 路径存在性
轻量级魔数匹配：用 h2non/filetype 快速分类图片/音视频
它只读最多 262 字节，无外部依赖，适合高并发上传网关做前置过滤。
-
filetype.IsImage(buf)或filetype.Match(buf)可直接返回Type结构体，含Ext和MIME - 不保证匹配顺序，多个 ZIP 类型（如
.jar和.xlsx）可能同时命中，需按业务优先级手动兜底 - 自定义类型需显式调用
filetype.Add()注册，且 matcher 函数必须严格匹配字节位置（例如 PNG 必须从 offset 0 开始匹配89 50 4E 47）
真正难的是混合场景：既要快速拒绝明显非法文件（用 filetype 拦第一道），又要精准放行合法但结构复杂的文档（用 mimetype 做第二道）。两者不能互换，也不能只用一个。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
