使用http.MaxBytesReader限制请求体大小，防止内存溢出；通过中间件统一处理，结合ParseMultipartForm用于文件上传场景，并与客户端协同提升体验。
在使用 Golang 处理 HTTP 请求时，请求体（Body）的大小限制是一个常见的问题，尤其是在上传文件或接收大量数据时。默认情况下，Go 的 http.Request.Body 没有硬性大小限制，但如果不加以控制，可能会导致内存溢出或拒绝服务攻击（DoS）。因此，合理设置和处理 Body 大小限制是必要的。
1. 使用 http.MaxBytesReader 限制请求体大小
http.MaxBytesReader 是 Go 标准库中推荐的方式，用于限制客户端发送的请求体大小。它不会将整个 Body 加载到内存中，而是通过包装底层的 io.ReadCloser 实现流式读取并实时检查大小。
当请求体超过指定限制时，MaxBytesReader 不会直接返回错误，而是在后续读取时返回 http.ErrBodyTooLarge，你可以据此返回合适的 HTTP 状态码。
示例代码：func handler(w http.ResponseWriter, r *http.Request) {
// 限制请求体最大为 10MB
r.Body = http.MaxBytesReader(w, r.Body, 10<<20)
body, err := io.ReadAll(r.Body)
if err != nil {
if err == http.ErrBodyTooLarge {
http.Error(w, "请求体过大", http.StatusRequestEntityTooLarge)
return
}
http.Error(w, "读取请求体失败", http.StatusInternalServerError)
return
}
// 正常处理 body
w.Write([]byte("接收到数据：" + string(body)))
}
注意：必须将 MaxBytesReader 的返回值重新赋给 r.Body，否则无效。
立即学习“go语言免费学习笔记（深入）”；
2. 在中间件中统一设置大小限制
如果你希望对多个路由统一限制 Body 大小，可以编写一个中间件来封装此逻辑。
示例中间件：func limitBodySize(next http.Handler) http.Handler {
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
r.Body = http.MaxBytesReader(w, r.Body, 10<<20) // 10MB
next.ServeHTTP(w, r)
})
}
// 使用方式
http.Handle("/upload", limitBodySize(http.HandlerFunc(uploadHandler)))
这样可以在不修改具体业务逻辑的前提下，统一控制请求体大小。
3. 处理 multipart/form-data 表单上传
对于文件上传等场景，通常使用 r.ParseMultipartForm(maxMemory)。该方法会将小于 maxMemory 的文件加载到内存，大于的则写入临时文件。
虽然 ParseMultipartForm 可以限制内存使用，但它不直接限制总请求体大小。为了防止恶意大请求，仍需结合 MaxBytesReader。
正确做法：func uploadHandler(w http.ResponseWriter, r *http.Request) {
r.Body = http.MaxBytesReader(w, r.Body, 32<<20) // 总请求体不超过 32MB
err := r.ParseMultipartForm(8 << 10) // 8KB 内存缓冲
if err != nil {
if err == http.ErrBodyTooLarge {
http.Error(w, "请求体过大", http.StatusRequestEntityTooLarge)
return
}
http.Error(w, "解析表单失败", http.StatusBadRequest)
return
}
// 处理文件和其他字段
file, handler, err := r.FormFile("file")
// ...
}
4. 客户端与服务端配合更佳体验
建议在文档或 API 接口中明确告知客户端最大允许的 Body 大小，并在响应头中提供提示信息。
例如返回 Content-Length 超限时，可附带说明：
http.Error(w, "请求体不能超过 10MB", http.StatusRequestEntityTooLarge)
前端可在上传前做本地校验，减少无效请求。
基本上就这些。关键点是使用 http.MaxBytesReader 来安全地限制 Body 大小，避免内存耗尽，同时配合表单解析和中间件提升代码可维护性。不复杂但容易忽略。
