buffalo框架需手动实现安全文件上传：用io.readfull校验魔数、http.maxbytesreader限制大小、path.base防路径遍历、显式defer f.close()防句柄泄漏。
Buffalo 框架本身不提供开箱即用的文件上传处理层，所有上传逻辑必须手动控制：魔数校验、大小限制、临时存储和安全落地都得自己写，否则极易被伪造 Content-Type 或超大文件击穿服务。
怎么用 c.File() 安全读取上传文件流
c.File("file") 返回的是 multipart.File，本质是 io.Reader，但直接调用 Read() 无法保证读满——魔数比对会静默失败。必须用 io.ReadFull 配合固定长度切片：
- 分配
head := make([]byte, 16)：覆盖 PNG（\x89PNG）、JPEG（\xFF\xD8\xFF）、PDF（%PDF）、ZIP（\x50\x4B\x03\x04）等主流格式所需最大魔数长度 - 调用
_, err := io.ReadFull(f, head[:])；若返回io.ErrUnexpectedEOF，说明文件太小，可降级只比前 4 字节 - 禁止用
f.Read(head)或bufio.NewReader(f).Read(head)：它们不报错也不填满，会导致二进制比对失效
为什么不能用 binary.Read 或字符串转换比魔数
这两类写法在 Buffalo 中完全不可靠：
Buffalo框架 1.0.1
下载
Buffalo框架 1.0.1 版本源码包下载，适合需要错误处理改进、依赖更新、render.Download 注释和 request logger 调整的 v1 项目。
-
binary.Read(f, binary.BigEndian, &magicUint32)：把\x89\x50\x4E\x47解成整数后字节序反转，PNG 魔数永远比不上 -
string(head[:4]) == "\x89\x50\x4E\x47"：UTF-8 编码会篡改二进制，\x89不是合法 UTF-8 字符，转字符串后内容已损坏 - 正确做法是用
bytes.Equal(head[:4], []byte{0x89, 0x50, 0x4E, 0x47})
如何在中间件中拦截超大上传防止内存溢出
Buffalo 默认不限制 multipart 解析大小，大文件会直接耗尽内存。必须用 http.MaxBytesReader 包装 Request.Body：
- 在
app.Use()中插入中间件，调用http.MaxBytesReader(c.Response(), c.Request().Body, 10_485_760)（例如限制 10MB） - 将结果重新赋给
c.Request().Body，且必须在c.Next()前完成 - 注意：错误会在实际读取时触发，handler 需捕获
http: request body too large或io.ErrUnexpectedEOF - 不要依赖
Content-Length头做唯一判断——它可被客户端伪造
上传后怎么安全保存到磁盘或对象存储
拿到 multipart.File 后不能直接 io.Copy 到目标路径，需防路径遍历和空文件：
- 用
path.Base(f.Filename)提取原始文件名，丢弃完整路径 - 生成唯一文件名（如
uuid.New().String() + filepath.Ext(name)），避免覆盖或冲突 - 检查
f.Size是否为 0，防止空文件写入 - 写入前确保目标目录存在：
os.MkdirAll(dir, 0755) - 使用
os.Create而非os.OpenFile，并显式设置权限（如0644）
真正容易被忽略的是：Buffalo 的 c.File() 返回值必须显式 defer f.Close()，否则文件句柄泄漏会快速耗尽系统资源——这和标准库 multipart.Reader 行为一致，但框架不帮你兜底。
