17370845950

Go中实现文件上传需用net/http和mime/multipart处理multipart/form-data请求：前端设enctype="multipart/form-data"，后端用r.FormFile解析、校验大小、净化文件名、安全保存，并注意超时与内存控制。

在 Go 中实现文件上传，核心是处理 multipart/form-data 类型的 HTTP 请求，利用标准库 net/http 和 mime/multipart 即可完成，无需第三方依赖。

1. 前端表单需正确设置 enctype

HTML 表单必须显式指定 enctype="multipart/form-data"，否则浏览器不会以多部分格式编码文件数据：

  
  上传

注意：name="file" 的值将用于后端读取对应文件字段（即 r.FormFile("file") 中的键名）。

2. 后端解析 multipart 请求并保存文件

Go 的 http.Request 提供了 FormFile 方法，能直接获取文件头和内容流。关键步骤包括：解析表单、校验文件、安全重命名、写入磁盘。

示例服务端代码：

func uploadHandler(w http.ResponseWriter, r *http.Request) {
  if r.Method != "POST" {
    http.Error(w, "仅支持 POST", http.StatusMethodNotAllowed)
    return
  }

  // 解析 multipart 表单（会自动调用 ParseMultipartForm）
  file, header, err := r.FormFile("file")
  if err != nil {
    http.Error(w, "读取文件失败: "+err.Error(), http.StatusBadRequest)
    return
  }
  defer file.Close()

  // 简单校验文件大小（例如限制 10MB）
  if header.Size > 10*1024*1024 {
    http.Error(w, "文件过大（最大 10MB）", http.StatusBadRequest)
    return
  }

  // 安全地生成保存路径（避免路径遍历）
  filename := filepath.Base(header.Filename)
  dstPath := filepath.Join("uploads", filename)

  // 创建 uploads 目录（如果不存在）
  if err := os.MkdirAll("uploads", 0755); err != nil {
    http.Error(w, "创建目录失败", http.StatusInternalServerError)
    return
  }

  // 写入文件
  dst, err := os.Create(dstPath)
  if err != nil {
    http.Error(w, "无法创建目标文件", http.StatusInternalServerError)
    return
  }
  defer dst.Close()

  if _, err := io.Copy(dst, file); err != nil {
    http.Error(w, "保存文件失败", http.StatusInternalServerError)
    return
  }

  w.WriteHeader(http.StatusOK)
  w.Write([]byte("上传成功：" + filename))
}

• ParseMultipartForm 自动触发：调用 r.FormFile 时，Go 会自动调用 r.ParseMultipartForm（默认内存阈值 32MB），你无需手动调用。
• 文件名需净化：使用 filepath.Base 防止恶意路径如 ../../etc/passwd；生产环境建议用 UUID 或哈希重命名。
• 资源及时关闭：file 和 dst 都需 defer Close()，避免句柄泄漏。

3. 处理多个文件或额外表单字段

若表单含多个文件或普通字段（如 ），可用以下方式：

• 多个同名文件：r.MultipartReader() 手动遍历 multipart.Part，按 part.Header.Get("Content-Disposition") 匹配 name="file"。
• 普通字段：r.FormValue("title") 可直接获取文本字段，前提是已调用过 ParseMultipartForm（FormFile 已隐式触发）。
• 混合字段示例：r.PostForm 在解析后包含所有非文件字段的键值对。

4. 生产环境注意事项

• 超时控制：为大文件上传设置合理的 http.Server.ReadTimeout 和 WriteTimeout。
• 内存限制：通过 r.ParseMultipartForm(maxMemory) 显式设小内存阈值（如 32
• 文件类型校验：不要只信 header.Header.Get("Content-Type")（易伪造），应读取文件前几个字节比对 magic number。
• 权限与存储：上传目录不应在 Web 根目录下，避免直接访问；敏感服务建议存至对象存储（如 S3），而非本地磁盘。