如何使用Golang处理多文件上传_Golang表单文件上传与保存示例_技术教程

必须先调用 r.ParseMultipartForm(maxMemory)，否则 FormFile 和 MultipartReader 会失败；maxMemory 应设为合理值（如 32

Go 的 `multipart.Form` 怎么正确解析多文件？

Go 标准库不自动解析文件字段，必须显式调用 r.ParseMultipartForm()，否则 r.MultipartReader() 或 r.FormFile() 会返回空或错误。常见现象是 nil 文件、http: no such file 或 EOF 错误。

关键点：

r.ParseMultipartForm(32 必须在读取任何文件前调用，参数是内存缓冲上限（如 32MB），超过此值文件将被写入临时磁盘
不设上限（传 0）会导致全部文件进内存，大文件上传直接 OOM
若表单含大量文本字段，该上限也限制整体解析内存占用

`req.FormFile()` 和 `req.MultipartReader()` 选哪个？

二者底层共享同一 multipart.Reader，但使用方式不同：前者适合已知字段名的单/多文件；后者适合动态字段名或流式处理。

多文件上传推荐用 req.MultipartReader()，避免反复调用 FormFile() 导致读取偏移错乱：

mr, err := r.MultipartReader()
if err != nil {
    http.Error(w, err.Error(), http.StatusBadRequest)
    return
}
for {
    part, err := mr.NextPart()
    if err == io.EOF {
        break
    }
    if err != nil {
        http.Error(w, err.Error(), http.StatusBadRequest)
        return
    }
    if part.FormName() == "files" { // 字段名为 files 的多文件
        dst, _ := os.Create("/tmp/" + part.FileName())
        io.Copy(dst, part)
        dst.Close()
    }
}

保存文件时怎么防止路径遍历和覆盖？

part.FileName() 可被客户端任意伪造，直接拼接 os.Create() 路径等于开放任意文件写入。

必须做两件事：

用 filepath.Base() 提取纯文件名，丢弃所有路径成分
生成唯一文件名（如加时间戳或 UUID），避免同名覆盖或竞争条件
检查 part.Header.Get("Content-Type") 做基础 MIME 类型校验（但不可替代后端扫描）

示例安全保存逻辑：

filename := filepath.Base(part.FileName())
if filename == "" {
    continue // 忽略空文件名
}
ext := filepath.Ext(filename)
safeName := fmt.Sprintf("%s_%d%s", strings.TrimSuffix(filename, ext), time.Now().UnixNano(), ext)
dst, _ := os.Create("/upload/" + safeName)