c.FormFile返回nil, nil表示未找到对应name的文件字段，而非解析错误；必须检查file是否为nil来判断文件是否存在，而非仅依赖err。
为什么 c.FormFile 有时返回 nil, nil 而不是错误？
这是 Echo 中上传逻辑最常被误解的一点：c.FormFile 在找不到对应 name 的文件字段时，**不报错也不 panic，而是返回 nil, nil**。它只在解析 multipart 数据失败（比如请求体损坏、边界不匹配）时才返回非 nil 错误。
这意味着你不能靠检查 err 是否为 nil 来判断“有没有上传文件”，而必须先检查 *multipart.FileHeader 是否为 nil：
file, header, err := c.FormFile("avatar")
if err != nil {
// 解析失败：网络中断、非 multipart 请求、格式错误等
return c.String(400, "upload parse error: "+err.Error())
}
if file == nil { // 注意：不是检查 err！
return c.String(400, "no file named 'avatar' in form")
}
- 常见诱因：前端
<input type="file">没有设置name="avatar"；或用了FormData.append("file", blob)但后端仍查"avatar" - 注意
header.Size是文件大小（字节），但header.Size == 0合法（空文件），不能用它代替file == nil判断是否存在 - 如果用
c.MultipartForm()手动解析，form.File字段是map[string][]*multipart.FileHeader，同样需判空而非只看 err
如何安全读取并限制上传文件大小？
Echo 默认不限制上传体积，c.FormFile 内部调用 req.ParseMultipartForm(32 （即 32MB），但这个阈值仅控制内存缓冲上限；超过部分会自动落盘到临时目录（由 <code>os.TempDir() 决定），不设限仍可能耗尽磁盘。
真正起作用的是 全局中间件级限制，必须在路由注册前设置：
e := echo.New()
e.MaxRequestBodySize = 10 * 1024 * 1024 // 10MB，对所有 POST/PUT/PATCH 生效
// 或更细粒度：用 middleware.BodyLimit("10M")
-
e.MaxRequestBodySize是最直接的方式，超出立即返回 413，不进 handler - 若需 per-route 控制（比如头像限 2MB、附件限 50MB），改用
middleware.BodyLimit并链式挂载：e.POST("/avatar", avatarHandler, middleware.BodyLimit("2M")) -
c.FormFile返回的file是multipart.File接口，调file.Open()才真正打开句柄——务必 deferfile.Close()，否则 fd 泄漏
c.SaveUploadedFile 底层做了什么？
这个方法看似方便，实际只是封装了三步：Open → Copy → Close，底层完全依赖 Go 标准库的 io.Copy 和 os.Create：
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
func (c *context) SaveUploadedFile(file *multipart.FileHeader, dst string) error {
src, err := file.Open() // 打开临时文件或内存 buffer
if err != nil {
return err
}
defer src.Close()
<pre class="brush:php;toolbar:false;">dstFile, err := os.Create(dst)
if err != nil {
return err
}
defer dstFile.Close()
_, err = io.Copy(dstFile, src) // 直接流式拷贝，无校验、无进度
return err}
- 不会自动创建父目录，
dst路径不存在时直接报no such file or directory - 不做 MIME 类型检查、不校验扩展名，传入
.php也会照存——业务层必须自己验证header.Header.Get("Content-Type")或用file.Open()读前几个字节识别 - 大文件上传时，
io.Copy是阻塞同步操作，若需并发限速或断点续传，得换用io.CopyN+ 分块处理
为什么上传成功但文件内容为空？
典型现象：调用 c.SaveUploadedFile 返回 nil，目标路径也生成了文件，但 ls -l 显示 size=0。根本原因是：同一个 *multipart.FileHeader 只能被 Open() 一次。
Echo 的 c.FormFile 返回的 file 是单次可读资源，重复调用 file.Open() 会返回空 reader（Go 的 multipart.File 实现决定的）：
file, _, _ := c.FormFile("data")
file.Open() // 第一次：正常返回 *os.File
file.Open() // 第二次：返回 &bytes.Reader{...}，Read() 立即 EOF
- 常见误用：先用
file.Open()检查文件头（如 PNG magic bytes），再传给c.SaveUploadedFile——后者内部又调了一次Open()，结果保存空文件 - 正确做法：要么只用
c.SaveUploadedFile保存，之后用os.Open单独读取校验；要么自己file.Open()后用io.Copy保存，并全程管理 reader 生命周期 - 注意
header.Size是原始声明大小，不等于实际写入字节数——SaveUploadedFile失败时不会自动清理已写入的部分，需手动os.Remove
文件上传的边界情况远比表单解析复杂，尤其是 multipart.File 的一次性语义和临时文件生命周期，很容易在调试时被忽略。
