revel 框架需手动调用 parsemultipartform 才能获取上传文件，否则 req.multipartform 为 nil，导致 panic 或 file == nil；必须在读取前执行 c.request.parsemultipartform(32
Revel 框架本身不提供开箱即用的文件上传封装（如 request.files 这类 Flask 风格的 API），它把文件解析交还给 Go 原生的 http.Request.ParseMultipartForm()，这意味着你需要手动处理 multipart/form-data 请求体——这既是灵活性来源，也是容易出错的起点。
如何从 request 中提取上传的文件
Revel 的 Controller 对象持有标准的 *http.Request，所以必须显式调用 ParseMultipartForm 才能访问 req.MultipartForm。不调用会直接导致 req.MultipartForm == nil，后续取文件时 panic 或返回空。
常见错误现象：panic: runtime error: invalid memory address 或 file == nil 却没报错，只因忘了 Parse。
- 必须在读取文件前调用
c.Request.ParseMultipartForm(32 （例如限制 32MB 内存缓冲） -
ParseMultipartForm的参数是最大内存缓存大小（单位字节），超过此值的文件将被写入临时磁盘；若设为 0，所有文件都落盘，但不推荐 - 文件对象通过
c.Request.MultipartForm.File["file"]获取（"file"是 HTML 表单中input name="file"的值） - 每个
File是[]*multipart.FileHeader，即使单文件也要取[0]
保存上传文件到本地路径的正确姿势
拿到 *multipart.FileHeader 后不能直接 .Save() 到任意路径——Revel 应用默认以项目根目录为工作目录，而生产环境常由 systemd 或 supervisord 启动，其工作目录未必可控。硬编码相对路径（如 "uploads/" + f.Filename）极易写到错误位置甚至根目录。
安全做法是：用绝对路径 + 显式创建目录 + 文件名净化。
- 使用
filepath.Join(os.Getenv("REVEL_APP_PATH"), "public", "uploads")定位到已知可写子目录（public/uploads是惯例，需提前mkdir -p并赋权） - 务必调用
os.MkdirAll(uploadDir, 0755)确保父目录存在 - 用
path.Base(f.Filename)截掉客户端可能伪造的路径（防../../../etc/passwd） - 建议重命名：结合时间戳与随机字符串，避免冲突和覆盖，例如
fmt.Sprintf("%d_%s", time.Now().Unix(), safeName)
验证文件类型与大小的可靠方式
仅靠 f.Header.Get("Content-Type") 或后缀名（f.Filename）校验极不可靠——攻击者可篡改请求头或上传 shell.php.jpg 绕过检查。Revel 没有内置 MIME 探测，必须自己读取文件头。
关键点：必须打开临时文件流，读取前几个字节比对魔术字节（magic bytes），而不是依赖扩展名或 header。
- 用
f.Open()获取io.ReadCloser，再用io.LimitReader读前 512 字节（足够识别大多数格式） - 调用
http.DetectContentType()是捷径，但它只基于字节模式，不保证 100% 准确；更稳妥的是用github.com/h2non/filetype库做二次确认 - 大小校验应在
ParseMultipartForm参数中设上限（内存+磁盘总限），再额外检查f.Size是否超出业务阈值（如 10MB） - 白名单应同时约束 MIME 类型（如
"image/jpeg"）和扩展名（如".jpg"），二者缺一不可
为什么不能直接用 Revel 的 Static.Serve 提供上传文件
很多人想让上传后的图片通过 /uploads/xxx.jpg 直接访问，于是把路径加进 Static.Serve 配置。这看似省事，但埋下严重隐患：如果上传目录未做隔离，攻击者可能上传 .htaccess、web.config 或可执行脚本，再通过静态路由触发解析执行。
真正安全的做法是：上传目录必须位于 public/ 下，且 Nginx/Apache 需显式禁止执行权限（如 Nginx 中 location ~ \.(php|sh|pl)$ { deny all; }）；或者更彻底——上传文件存到 data/uploads/（非 public），由 Revel 控制器代理输出（c.RenderBinary），这样能统一鉴权和日志。
最后提醒：Revel 的 dev 模式下热重载会频繁重启进程，若上传文件正在被写入，可能触发 text file busy 错误；生产务必用 REVEL_RUNMODE=prod 启动，并配合 supervisord 管理进程生命周期。
