上传接口必须校验token，鉴权须在读取文件流前完成；gin默认不解析multipart/form-data的authorization头，需用中间件前置校验且不可调用ctx.formfile()等触发解析的方法，失败即返回401。
上传接口必须校验 token，否则直接拒收文件
Gin 默认不解析 multipart/form-data 中的 Authorization 头，ctx.Request.Header.Get("Authorization") 能取到值，但若没在中间件里提前调用 ctx.Request.ParseMultipartForm() 或类似触发解析的操作，后续调用 ctx.FormFile() 时可能静默失败或阻塞。更关键的是：鉴权必须发生在读取文件流之前，否则攻击者可构造超大文件耗尽内存或带恶意字段绕过检查。
实操建议：
- 把鉴权逻辑写成独立中间件，在
router.POST("/upload", authMiddleware(), uploadHandler)中前置注册 - 中间件内只做 token 解析与校验，**不要调用
ctx.FormFile()、ctx.MultipartForm()或任何触发 body 解析的方法** - 校验失败立即返回
ctx.AbortWithStatusJSON(401, ...)，避免后续 handler 执行 - 若需从 form 中读额外字段（如
file_type），也必须在鉴权通过后、ctx.FormFile()之前统一解析一次：if err := ctx.ParseMultipartForm(32
使用 ctx.FormFile() 前务必限制内存和总大小
Gin 的 ctx.FormFile() 底层依赖 http.Request.FormFile()，而后者会把整个 multipart body 加载进内存（包括非文件字段），若不限制，上传 500MB 文件可能直接 OOM。Gin 不自动设限，必须手动干预。
实操建议：
- 在路由注册前全局设置最大内存：
gin.SetMode(gin.ReleaseMode); router.MaxMultipartMemory = 8 - 若需接收更大文件，改用
ctx.MultipartForm()配合流式处理，但鉴权仍需前置 - 对
Content-Length做粗筛：在中间件中加if ctx.Request.ContentLength > 100（注意：该值可能为 -1，需判空） - 避免在 handler 内多次调用
ctx.FormFile()—— 每次都会重新解析整个 form，应一次获取并缓存：file, header, err := ctx.FormFile("file")
token 校验失败时，ctx.Request.Body 可能已部分读取
当使用 JWT 等方案从 header 提取 token 并解析时，看似没碰 body，但某些鉴权库（如 github.com/golang-jwt/jwt/v5）若配置了自定义 KeyFunc 并内部发起 HTTP 请求，或日志中间件提前读了 body，会导致后续 ctx.FormFile() 返回 http: invalid Read on closed Body 或空文件。
实操建议：
- token 解析全程只操作 header 和字符串，禁止任何涉及
ctx.Request.Body的操作 - 检查所有中间件顺序，确保日志、监控等可能读 body 的中间件放在鉴权之后
- 若必须调试，用
io.LimitReader(ctx.Request.Body, 1024)代替全量读取 - 在鉴权中间件开头加防护：
if ctx.Request.Body == http.NoBody { ... }，提前发现异常状态
生产环境必须校验文件名与 MIME 类型，不能只信前端传的 Content-Type
前端提交的 header["Content-Type"] 和表单字段 filename 完全可控，攻击者可伪造 image/jpeg 实际传入 PHP 文件；也可用 ../../../etc/passwd 绕过路径过滤。Gin 不提供自动校验，需自行处理。
实操建议：
- 用
filepath.Base(header.Filename)提取真实文件名，丢弃路径部分 - 用
mimes, _ := header.Header["Content-Type"]获取客户端声明类型，但仅作参考 - 打开文件流前，用
file, _ := file.Open()+bytes.Buffer读前 512 字节，调用http.DetectContentType()做实际类型识别 - 白名单校验：
if !slices.Contains([]string{"image/jpeg", "image/png"}, detectedType) { ... } - 保存时强制重命名：
uuid.New().String() + ".jpg"，彻底剥离原始文件名
Gin 文件上传鉴权最易被忽略的点是：鉴权中间件和文件解析共享同一个 request body 流，一旦某处提前消费，后面就拿不到数据——这不是 Gin 的 bug，而是 Go http 标准库的设计约束。 所有操作顺序、内存限制、流保护都得围绕这个前提展开。
