表单上传必须设enctype="multipart/form-data"，否则后端收不到文件；name属性须与c.FormFile()参数一致；单文件用c.FormFile，多文件或混合字段用c.MultipartForm；需前后端协同限制大小、重命名文件、校验MIME类型并安全保存。
form 表单上传必须设 enctype="multipart/form-data"
漏掉这个属性是 Echo（以及所有后端框架）收不到文件的最常见原因。浏览器会静默降级为 application/x-www-form-urlencoded，只传文件名字符串，不传二进制内容。服务端用 c.FormFile() 或 c.MultipartForm() 拿到的 file 字段为空或报错 http.ErrMissingFile。
正确写法示例：
-
name="avatar"必须和服务端c.FormFile("avatar")中的字段名严格一致 - 多个文件用
name="files"+multiple，后端用c.MultipartForm()取form.File["files"] - 不要在 form 里混用
application/json或其他 enctype，multipart 是唯一支持文件的编码方式
c.FormFile() 和 c.MultipartForm() 的适用场景区别
c.FormFile("name") 适合单文件上传，返回一个 *echo.FileHeader，轻量、直接；c.MultipartForm() 返回完整 *multipart.Form，适合多文件、混合表单字段（如同时传文件 + 文本描述）的场景。
常见误用：
- 用
c.FormFile()去读multiple多选的 input —— 它只取第一个，其余丢弃 - 用
c.MultipartForm()处理单文件却忽略form.Value中的普通字段，导致文本参数丢失 - 没检查
err就直接解包form.File，遇到空文件或解析失败时 panic
安全写法示例（单文件）：
Echo框架 5.1.0
下载
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
file, err := c.FormFile("document")
if err != nil {
return c.JSON(http.StatusBadRequest, map[string]string{"error": "no file provided"})
}
src, err := file.Open()
if err != nil {
return err
}
defer src.Close()
文件大小限制必须前后端协同控制
Echo 默认不限制请求体大小，但大文件上传会触发超时、内存溢出或被中间件（如 Nginx）截断。仅靠前端 的 accept 或 JS 校验毫无意义，服务端必须做硬性拦截。
- 在 Echo 路由前加中间件：
e.Use(middleware.BodyLimit("10MB"))，超过立即 413 - 用
file.Size在业务逻辑里二次校验，比如限制头像 ≤2MB：if file.Size > 2*1024*1024 { ... } - Nginx 配置需同步：设置
client_max_body_size 10M，否则请求根本到不了 Echo - 别依赖
Content-Length请求头做判断——它可被伪造，且分块传输时可能为空
保存文件前务必重命名并校验 MIME 类型
file.Filename 来自客户端，不可信。直接拼接路径保存会导致路径遍历（如 ../../etc/passwd）或同名覆盖；仅靠 accept 属性或文件扩展名校验极易绕过（如把恶意 exe 改后缀为 .jpg）。
- 用
file.Header.Peek("Content-Type")读原始 MIME，比扩展名可靠得多（如"image/jpeg"） - 生成安全文件名：用
uuid.New().String() + filepath.Ext(file.Filename) - 保存路径必须用
filepath.Join("uploads", safeName)，禁止字符串拼接 - 确保上传目录不在 Web 根目录下，避免用户直连执行（如 PHP 文件）
真正容易被忽略的是：MIME 类型校验必须在 file.Open() 之后、读取前做——因为 file.Header 是解析 multipart boundary 时提取的，不是文件内容检测，但它已是客户端声明的唯一可信依据；更严格的检测（如魔数）需要额外开文件流，代价高，一般场景不强制。
