结论：不推荐裸用 net/http 实现 restful 文件 api，应使用 gorilla/mux + http.maxbytesreader + os.createtemp；上传时须校验 multipart.reader 解析结果而非仅检查 content-type header。
net/http 处理上传/下载逻辑**，容易漏掉边界检查、MIME 验证、临时文件清理和并发写冲突；**gorilla/mux + http.MaxBytesReader + 显式 os.CreateTemp 是更稳妥的起点**，比 Gin 等框架在文件场景下更可控、更易调试。
文件上传时 Content-Type 和 multipart/form-data 边界必须校验
很多开发者只检查 r.Header.Get("Content-Type") 是否包含 "multipart/form-data"，但这是不够的——攻击者可伪造 header，真正关键的是解析时是否能成功提取 multipart.Reader。
- 务必调用
err := r.ParseMultipartForm(32 （例如限制 32MB），失败就立即返回 400 - 不要依赖
r.MultipartForm.Value直接读字段，先确认r.MultipartForm.File["file"]存在且非空 - 检查
header.Header.Get("Content-Type")获取实际上传文件 MIME 类型，拒绝"application/x-executable"或无扩展名的二进制 - 用
path.Ext(filename)提取扩展名，比从 MIME 推断更可靠（MIME 可被篡改）
文件下载必须设置正确的 Header 且避免内存爆炸
直接 io.Copy(w, file) 看似简单，但若文件超大或连接中断，会卡住 goroutine 并占用内存；Content-Disposition 缺失则浏览器可能内联渲染而非下载。
- 始终设置：
w.Header().Set("Content-Type", "application/octet-stream") - 强制下载：
w.Header().Set("Content-Disposition", `attachment; filename="`+filename+`"`) - 加流控：
http.ServeContent(w, r, filename, modTime, file)（自动处理 Range、If-None-Match 等） - 禁止用
os.ReadFile加载整个文件到内存——哪怕只是 100MB，也足以拖垮服务
路径参数 /files/{id} 中的 id 必须做白名单过滤
RESTful 路由常写成 r.HandleFunc("/files/{id}", getFileHandler).Methods("GET")，但 {id} 若未约束，攻击者可传 ../../etc/passwd 触发路径遍历。
- 不要信任
mux.Vars(r)["id"]的原始值 - 用正则预检：
match, _ := regexp.MatchString(`^[a-zA-Z0-9_-]{8,32}$`, id)，不匹配就返回 404 - 拼接磁盘路径前，用
filepath.Clean()并检查是否仍以允许目录开头（如strings.HasPrefix(cleanPath, "/var/uploads/")） - 绝不使用
os.Open(id)—— 必须构造完整安全路径：filepath.Join(uploadDir, id)
并发上传时临时文件名冲突和清理必须手动控制
r.FormFile("file") 返回的 multipart.File 默认存在内存或临时目录，但 Go 不保证自动清理；高并发下 os.CreateTemp 若不指定唯一前缀，可能生成重复文件名。
- 显式创建临时文件：
f, err := os.CreateTemp("", "upload-*.bin") - 上传完成后，用
defer os.Remove(f.Name())清理（注意：仅在成功保存后 defer） - 保存目标文件前，先
os.Chmod(f.Name(), 0600)避免其他用户读取中间态 - 如果用
io.Copy写入目标路径，务必检查err == nil后再删临时文件，否则丢失数据
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
