如何在 Go 中安全限制 HTTP 文件上传大小_技术教程

本文详解 go web 开发中限制文件上传大小的正确方式，包括使用 http.maxbytesreader 控制请求体总长度、parsemultipartform 管理内存使用，以及为何不能依赖 content-length 头，并强调 fileheader.size 的关键校验时机。

在 Go 的 HTTP 文件上传处理中，一个常见误区是认为调用 r.FormFile("file") 时才开始读取文件内容——实际上，默认情况下，整个 multipart 请求体可能已在 r.ParseMultipartForm 或隐式解析过程中被缓冲，导致大文件直接耗尽内存或带宽。因此，限制必须前置到请求体读取的最上游，而非等到获取 *multipart.File 之后。

✅ 正确做法一：用 http.MaxBytesReader 截断请求体

http.MaxBytesReader 是 Go 标准库提供的核心防护机制，它包装 r.Body，在底层 Read 调用时实时计数并中断超限请求：

const maxRequestBody = 10 << 20 // 10 MB
r.Body = http.MaxBytesReader(w, r.Body, maxRequestBody)

⚠️ 注意：

必须在任何解析操作（如 r.FormFile、r.ParseMultipartForm 或 r.ParseForm）之前设置；
它限制的是整个请求体字节数（含所有表单字段 + 所有文件），适用于单文件上传场景；若含多个文件或大文本字段，需预留足够余量；
触发上限后，Go 会立即停止读取，并在 handler 返回后关闭连接（客户端收到 400 Bad Request 或连接重置）。

✅ 正确做法二：用 ParseMultipartForm 控制内存占用

若需精细管理内存（例如允许大文件但避免全部载入 RAM），应显式调用：

const maxMemory = 32 << 20 // 32 MB 内存缓冲区
if err := r.ParseMultipartForm(maxMemory); err != nil {
    http.Error(w, "request too large", http.StatusBadRequest)
    return
}

该方法的作用是：

将小于 maxMemory 的文件部分保留在内存，其余自动写入临时磁盘文件；
但不阻止客户端发送超大文件——它只影响服务端存储策略，而非传输拦截；
因此仍需配合 MaxBytesReader 使用，形成“传输层限流 + 存储层分流”双重保障。

✅ 关键校验点：在 FormFile 后立即检查 FileHeader.Size

即使做了上述限制，仍建议对每个文件做二次校验，尤其是多文件上传场景：

file, header, err := r.FormFile("file")
if err != nil {
    http.Error(w, "no file uploaded", http.StatusBadRequest)
    return
}
defer file.Close()

if header.Size > 5<<20 { // 5 MB 单文件硬限制
    http.Error(w, "file too large", http.StatusBadRequest)
    return
}

header.Size 是 multipart.FileHeader 中预解析的文件大小（来自 multipart boundary 中的 Content-Length 字段），无需读取文件内容即可获取，开销极小，是实现精准单文件限制的可靠依据。

❌ 错误做法：依赖 r.ContentLength

不要通过 r.ContentLength 判断文件大小，原因有二：

分块传输（chunked encoding）下该字段为 -1，无法获取；
即使存在，HTTP/1.1 服务器为支持 keep-alive 可能强制读完全部 body，导致限流失效。

总结：推荐组合策略

func uploadHandler(w http.ResponseWriter, r *http.Request) {
    const (
        maxTotalBody = 15 << 20 // 15 MB 总请求体（含所有字段）
        maxMem       = 32 << 20 // 32 MB 内存缓冲
        maxSingle    = 10 << 20 // 10 MB 单文件上限
    )

    // Step 1: 最早拦截 —— 限制总请求体
    r.Body = http.MaxBytesReader(w, r.Body, maxTotalBody)

    // Step 2: 解析 multipart（可选，但推荐显式调用）
    if err := r.ParseMultipartForm(maxMem); err != nil {
        http.Error(w, "invalid form", http.StatusBadRequest)
        return
    }

    // Step 3: 获取文件并校验大小
    file, header, err := r.FormFile("file")
    if err != nil {
        http.Error(w, "no file", http.StatusBadRequest)
        return
    }
    defer file.Close()

    if header.Size > maxSingle {
        http.Error(w, "file exceeds 10MB", http.StatusBadRequest)
        return
    }

    // ✅ 安全处理文件...
}

该方案兼顾安全性、资源可控性与开发清晰度，是生产环境 Go 文件上传的标准实践。