Echo框架怎么限制请求体大小中间件-Golang-PHP中文网

bodylimit中间件在multipart场景下无效，因其仅校验content-length声明值，无法拦截“小表单+大文件”组合；真正有效的是http.maxbytesreader配合parsemultipartform内存限制。

echo框架怎么限制请求体大小中间件

BodyLimit 中间件为什么有时返回 413 却拦不住大文件上传

因为 middleware.BodyLimit 只限制 Content-Length 声明值和实际读取字节数，但对 multipart/form-data 中“小表单 + 大文件”组合完全无效。攻击者发一个 1KB 的 title 字段 + 99MB 文件，只要总 Content-Length 没超限（比如设了 "10M"），中间件就放行——而文件后续会落盘，内存不受控。

真正起作用的是两层配合：

r.Body = http.MaxBytesReader(w, r.Body, 50 * 1024 * 1024) —— 在任何读取前卡死总上传量
r.ParseMultipartForm(8 * 1024 * 1024) —— 控制内存缓存上限，逼大文件走磁盘

否则，BodyLimit("10M") 在 multipart 场景下只是个心理安慰。

BodyLimit 和 MaxBytesReader 混用时谁生效

BodyLimit 是 Echo 封装的中间件，底层调用的就是 http.MaxBytesReader，但它只在 echo.Use() 注册、且未被提前消费 r.Body 时才有效。一旦你在 JWT 验证中间件里写了 c.Request().ParseForm() 或 io.ReadAll(c.Request().Body)，原始 r.Body 就空了，BodyLimit 的包装器根本没机会运行。

所以必须保证：

所有自定义中间件避免调用 ParseForm()、ParseMultipartForm()、ReadAll()
业务 handler 中若绕过 c.FormValue() 或 c.FormFile()，改用 json.NewDecoder(c.Request.Body).Decode()，就得自己套 http.MaxBytesReader
检查是否用了自定义 echo.Echo 实例——v4.12+ 默认启用 BodyLimit，但手动 new 时可能漏掉 echo.DefaultHTTPErrorHandler 相关配置

怎么给不同路由设不同大小限制

middleware.BodyLimit 是全局中间件，不支持 per-route 差异化。要实现 /login 限 2MB、/upload 限 100MB，只能放弃 Use()，改用 http.MaxBytesReader 手动包裹每个 handler：

Echo框架 5.1.0

Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。

下载

e.POST("/login", func(c echo.Context) error {
    c.Request().Body = http.MaxBytesReader(c.Response(), c.Request().Body, 2*1024*1024)
    // 后续正常绑定
    return c.JSON(200, "ok")
})
<p>e.POST("/upload", func(c echo.Context) error {
c.Request().Body = http.MaxBytesReader(c.Response(), c.Request().Body, 100<em>1024</em>1024)
// 必须再 ParseMultipartForm，且 maxMemory 要远小于总限值
if err := c.Request().ParseMultipartForm(8 <em> 1024 </em> 1024); err != nil {
return err
}
file, _ := c.FormFile("file")
return c.SaveToFile(file, file.Filename)
})
</p>

注意：这里 http.MaxBytesReader 的第一个参数必须是 c.Response()（即 http.ResponseWriter），不是 c.Response().Writer，否则 panic。