校验必须在parsemultipartform之前完成，安全时机是获取*multipart.fileheader后、调用file.open()前；需用header.size初筛、io.limitreader限流、魔数校验替代detectcontenttype、随机命名防路径遍历、异步查毒防超时。
校验必须在 ParseMultipartForm 之前完成
不能等 r.ParseMultipartForm() 执行完再做类型判断——它会把整个 multipart body 加载进内存或临时磁盘，恶意大文件此时已开始消耗资源。真正安全的时机是：拿到 *multipart.FileHeader 后、调用 file.Open() 前。
- 先用
header.Size做快速初筛（虽可伪造，但能拦住明显超限请求） - 立即用
io.LimitReader(file, maxSize)包装流，后续所有读取操作自动受控 - 读取前 512 字节传给
net/http.DetectContentType()，结果只作参考；对图片等关键类型，必须进一步用image.Decode()实际解析 - 若需支持 WebP，得显式导入
_ "golang.org/x/image/webp"，否则image.Decode()会返回unknown format
魔数校验比 DetectContentType 更可靠
net/http.DetectContentType() 对空文件、极小文件或非标准结构常返回 text/plain，且不识别 WebP、AVIF 等较新格式。生产环境应直接比对 magic bytes。
- JPEG 必须以
[]byte{0xFF, 0xD8}开头，PNG 是[]byte{0x89, 0x50, 0x4E, 0x47}，PDF 是[]byte{0x25, 0x50, 0x44, 0x46} - 用
io.ReadFull(limitedReader, buf[:n])安全读取，避免io.ErrUnexpectedEOFpanic - 匹配后别忘了
file.Seek(0, 0)重置偏移，否则后续保存会从中间开始写入 - 注意 GIF 的魔数有多个变体（
GIF87a/GIF89a），建议用bytes.HasPrefix(buf[:], []byte("GIF"))而非严格等于
文件名清洗和路径控制容易被绕过
仅用 filepath.Base(header.Filename) 不够——攻击者可提交 shell.php%00.jpg（含空字节）或 ../etc/passwd（路径遍历），甚至利用 Unicode 归一化绕过正则过滤。
- 彻底丢弃原始名，用
crypto/rand.Read()生成 16 字节随机 ID，转 hex 或 base32 - 扩展名只从 MIME 白名单映射获取（如
"image/jpeg" → ".jpg"），绝不用path.Ext() - 拼接路径后必须双重校验：
filepath.Clean()+strings.HasPrefix(cleanedPath, uploadDir) - 写入前检查父目录是否存在、是否为符号链接、权限是否为 0755 —— 防 symlink race
同步扫描会拖垮 HTTP 请求
上传成功后直接调用 ClamAV 或云查毒 API 做同步扫描，极易触发 Go HTTP 默认 30 秒超时，导致连接中断、文件残留、状态不一致。
- 上传阶段只做格式/大小/路径校验，成功后立即返回
{"status":"received","id":"xxx"} - 扫描任务扔进异步队列（如 Redis Streams 或 SQLite WAL 模式下的 INSERT），由 worker 单独处理
- 扫描结果更新数据库
status字段，前端通过轮询或 WebSocket 获取最终状态 - 若必须同步拦截（如金融级场景），至少用
time.AfterFunc(20*time.Second, cmd.Process.Kill)强制终止子进程
LimitReader 必须套在最外层，Seek(0,0) 容易漏掉，filepath.Clean 后没做前缀校验就写入，异步任务没加幂等键——这些细节出错，整套校验就形同虚设。golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
