Go语言如何实现文件上传_HTTP文件上传实现思路_技术教程

Go标准库http.HandleFunc处理multipart/form-data上传需先调用req.ParseMultipartForm解析，否则req.MultipartForm为nil导致panic；解析时依据MaxMemory决定数据存内存或磁盘。

Go标准库`http.HandleFunc`如何处理`multipart/form-data`上传

Go原生支持HTTP文件上传，不需要第三方库。关键在于识别请求的Content-Type是否为multipart/form-data，并调用req.ParseMultipartForm解析——这步会把文件和表单字段都加载进内存或临时磁盘（取决于MaxMemory设置）。

常见错误是直接读req.Body，跳过ParseMultipartForm，导致req.MultipartForm为nil，后续调用req.FormFile或req.MultipartForm.File会panic。

req.ParseMultipartForm(32 表示最多32MB存内存，超限自动写入临时文件
不调用ParseMultipartForm就访问req.MultipartForm，会触发http: multipart handled by ParseMultipartForm错误
前端必须在内，否则后端收不到文件

用`req.FormFile`提取单个文件并保存到磁盘

req.FormFile("file")是最简路径：它返回*multipart.FileHeader和io.ReadCloser，适合上传单个文件且无需校验元数据的场景。注意FileHeader里的Size是客户端声明大小，不可信；Filename可能含路径（如../../etc/passwd），必须清洗。

func uploadHandler(w http.ResponseWriter, r *http.Request) {
    if r.Method != "POST" {
        http.Error(w, "Method not allowed", http.StatusMethodNotAllowed)
        return
    }
    err := r.ParseMultipartForm(32 << 20)
    if err != nil {
        http.Error(w, "Unable to parse form", http.StatusBadRequest)
        return
    }

    file, header, err := r.FormFile("file")
    if err != nil {
        http.Error(w, "No file received", http.StatusBadRequest)
        return
    }
    defer file.Close()

    // 清洗文件名，防止路径遍历
    filename := filepath.Base(header.Filename)
    dst, err := os.Create("./uploads/" + filename)
    if err != nil {
        http.Error(w, "Cannot create file", http.StatusInternalServerError)
        return
    }
    defer dst.Close()

    _, err = io.Copy(dst, file)
    if err != nil {
        http.Error(w, "Failed to save file", http.StatusInternalServerError)
        return
    }
}

用`req.MultipartForm.File`处理多文件或同名多个文件

当HTML中使用，或存在多个name="file"字段时，req.FormFile只能取第一个，必须改用req.MultipartForm.File["files"]获取[]*multipart.FileHeader切片。

此时每个FileHeader仍需单独Open()，且Open()返回的io.ReadCloser必须显式Close()，否则文件句柄泄漏。

req.MultipartForm.File返回的是切片，空切片表示没匹配到该name的文件
每个fileHeader.Open()后必须defer file.Close()，否则临时文件不清理、内存不释放
并发上传时，ParseMultipartForm是线程安全的，但文件写入需自行加锁或隔离路径

大文件上传与流式处理的边界在哪里

Go的ParseMultipartForm默认把整个请求体读入内存或临时磁盘，对GB级文件不友好。若需真正流式上传（边收边转存/校验），必须绕过ParseMultipartForm，手动解析multipart.Reader。

这意味着放弃req.FormValue等便利方法，自己用mime/multipart.NewReader逐part解析，并区分Content-Disposition中的name和filename字段。这增加了代码复杂度，但能控制缓冲区大小、提前终止恶意上传、实时计算哈希。

流式解析需手动处理boundary，multipart.NewReader(req.Body, boundary)的boundary从req.Header.Get("Content-Type")中提取
无法再用req.FormValue("token")，所有表单字段也得在流中一并解析
生产环境若需断点续传、秒传、分片，应交由Nginx或专用服务（如MinIO presigned URL）处理，Go后端只做回调校验

真正难的不是“怎么传”，而是“怎么安全地收”——文件名清洗、大小限制、类型校验、临时目录权限、杀毒集成、存储路径隔离，这些细节比调用FormFile容易被忽略得多。