应使用 revel.AppPath 构造上传路径，显式调用 r.MultipartReader() 遍历 part，校验文件名、扩展名和真实 MIME 类型，重命名后安全写入。
Revel 框架本身不内置文件上传解析器，request.Body 是原始字节流，必须手动解析 multipart/form-data；直接读取或用 ParseMultipartForm 是可行路径，但容易因缓冲区、临时文件、边界处理出错——尤其在生产环境启用了 MaxMemory 限制时。
怎么从 request 中安全提取上传的文件
Revel 的 *revel.Request 包装了标准 *http.Request，所以可直接调用 r.MultipartReader() 或 r.ParseMultipartForm()。但注意：ParseMultipartForm 会把小文件暂存内存、大文件写入临时目录（由 os.TempDir() 决定），而 Revel 并未接管该行为，你无法控制临时路径或清理时机。
- 推荐显式使用
r.MultipartReader()+ 手动遍历part，避免隐式临时文件堆积 - 每个
part需检查part.FormName()是否匹配预期字段名（如"avatar"），再读取part.FileName()和内容流 - 务必用
io.CopyN或带限速的io.Copy写入目标文件，防止恶意超大文件耗尽磁盘 - 不要依赖
part.Header.Get("Content-Type")做类型判断——它可被客户端伪造；应读取前几百字节用http.DetectContentType校验真实 MIME
保存到本地磁盘时路径怎么写才可靠
在 Revel 中硬编码相对路径（如 "./uploads/"）极不可靠：编译后二进制运行位置、revel run 启动路径、Docker 容器工作目录都可能不同。用 runtime.Caller 或 os.Getwd() 获取源码目录是典型误区，已在 Revel 官方文档中明确否定。
- 正确做法是使用 Revel 内置的
revel.AppPath，它在框架初始化时已准确指向应用根目录（含conf/、app/） - 构造保存路径：例如
filepath.Join(revel.AppPath, "public", "uploads", safeFilename) - 确保目标目录存在且有写权限：
os.MkdirAll(uploadDir, 0755)必须在写入前调用 - 不要把上传目录放在
public/下就认为可直接访问——Revel 默认不提供静态文件服务，需额外配置路由或用 Nginx 托管
如何防止文件覆盖和路径遍历攻击
用户提交的原始文件名（part.FileName()）完全不可信。直接拼接进路径会导致 ../../../etc/passwd 类型的遍历，或同名覆盖已有关键文件。
- 必须剥离路径成分：
filepath.Base(part.FileName())只取文件名，丢弃所有上级目录 - 扩展名要白名单校验：仅允许
"jpg"、"png"、"pdf"等业务所需类型，拒绝"php"、"js"、"exe" - 重命名用安全组合：时间戳 + 随机字符串 + 原扩展名，例如
fmt.Sprintf("%d_%s.%s", time.Now().Unix(), uuid.NewString()[:8], ext) - 写入前检查目标路径是否仍在
revel.AppPath下：strings.HasPrefix(absPath, revel.AppPath)，否则拒收
真正难的不是“怎么存”，而是“怎么确定存哪”和“怎么不让它存错地方”。revel.AppPath 是唯一跨开发/测试/生产一致的锚点，其他任何路径推导方式在 Revel 场景下都已被证伪。别省那几行代码去自己 resolve 路径——框架已经给你答案了。
