17370845950

Java文件上传下载核心是HTTP数据流处理、路径管理与安全控制；Spring Boot提供便捷支持但需理解底层逻辑，上传需校验文件名、大小并重命名，下载需正确设置响应头并流式传输。

Java中实现文件上传与下载，核心在于正确处理HTTP协议的数据流、合理管理文件存储路径、兼顾安全性与用户体验。Spring Boot生态提供了成熟便捷的支持，无需从零封装Servlet，但需理解底层逻辑才能规避常见坑点。

文件上传：接收多部分表单并安全落地

前端使用配合enctype="multipart/form-data"提交；后端用@RequestParam("file") MultipartFile file接收。关键注意三点：

• 必须在配置中启用 multipart 支持（Spring Boot 2.0+ 默认开启，但需确认spring.servlet.multipart.max-file-size等参数是否满足业务需求）
• 校验原始文件名，避免路径遍历攻击（如过滤../、替换\为/，或直接使用UUID重命名）
• 检查file.isEmpty()和file.getSize()，防止空文件或超大文件写入磁盘

示例保存逻辑：

String uploadDir = "/opt/uploads/";
Files.createDirectories(Paths.get(uploadDir));
String safeFilename = UUID.randomUUID() + "_" + file.getOriginalFilename();
Path targetPath = Paths.get(uploadDir, safeFilename);
file.transferTo(targetPath);

文件下载：按需响应流式输出，支持中文名与断点续传

下载本质是构造正确的HTTP响应头，再将文件字节写入HttpServletResponse.getOutputStream()。重点如下：

• 设置Content-Type为application/octet-stream（通用二进制）或根据扩展名动态推断（如image/png）
• 用Content-Disposition声明附件及文件名，中文名需用URLEncoder.encode(filename, "UTF-8")并加filename*=UTF-8''...格式兼容浏览器
• 建议添加Content-Length和Accept-Ranges: bytes以支持断点续传（尤其大文件）

小文件可直接读入内存返回；大文件务必用Files.copy(path, response.getOutputStream())流式传输，避免OOM。

生产级增强：存储分离、进度反馈与权限控制

单机文件系统仅适用于原型或低并发场景。上线前应考虑：

• 存储解耦：对接MinIO、阿里OSS或腾讯COS，用统一的FileStorageService接口屏蔽差异
• 上传进度：前端用XMLHttpRequest.upload.onprogress，后端通过StreamingResponseBody或WebSocket推送状态
• 权限校验：下载前验证用户是否有权访问该文件ID（例如查数据库记录、比对所属租户），禁止直接暴露物理路径
• 临时文件清理：上传失败或超时的临时文件需定时扫描清理（如用ScheduledExecutorService）

避坑提醒：编码、时区与容器部署细节

本地调试正常，上线后出问题？常因以下原因：

• Linux服务器默认字符集非UTF-8，导致中文文件名乱码——启动JVM时加-Dfile.encoding=UTF-8
• Docker容器内未挂载持久化卷，重启后上传文件丢失——确保/opt/uploads映射到宿主机或网络存储
• Nginx作为反向代理时，默认限制了请求体大小（client_max_body_size 10M），需同步调大
• Spring Boot 3.x起默认禁用javax.servlet，若用传统Filter做上传拦截，需切换为jakarta.servlet包

不复杂但容易忽略，上线前逐项核对更稳妥。