Go标准库http.HandleFunc处理multipart/form-data上传需先调用req.ParseMultipartForm解析，否则req.MultipartForm为nil导致panic；解析时依据MaxMemory决定数据存内存或磁盘。
Go标准库http.HandleFunc如何处理multipart/form-data上传
Go原生支持HTTP文件上传，不需要第三方库。关键在于识别请求的Content-Type是否为multipart/form-data，并调用req.ParseMultipartForm解析——这步会把文件和表单字段都加载进内存或临时磁盘（取决于MaxMemory设置）。
常见错误是直接读req.Body，跳过ParseMultipartForm，导致req.MultipartForm为nil，后续调用req.FormFile或req.MultipartForm.File会panic。
req.ParseMultipartForm(32 表示最多32MB存内存，超限自动写入临时文件- 不调用
ParseMultipartForm就访问req.MultipartForm，会触发http: multipart handled by ParseMultipartForm错误 - 前端
必须在内，否则后端收不到文件
用req.FormFile提取单个文件并保存到磁盘
req.FormFile("file")是最简路径：它返回*multipart.FileHeader和io.ReadCloser，适合上传单个文件且无需校验元数据的场景。注意FileHeader里的Size是客户端声明大小，不可信；Filename可能含路径（如../../etc/passwd），必须清洗。
func uploadHandler(w http.ResponseWriter, r *http.Request) {
if r.Method != "POST" {
http.Error(w, "Method not allowed", http.StatusMethodNotAllowed)
return
}
err := r.ParseMultipartForm(32 << 20)
if err != nil {
http.Error(w, "Unable to parse form", http.StatusBadRequest)
return
}
file, header, err := r.FormFile("file")
if err != nil {
http.Error(w, "No file received", http.StatusBadRequest)
return
}
defer file.Close()
// 清洗文件名，防止路径遍历
filename := filepath.Base(header.Filename)
dst, err := os.Create("./uploads/" + filename)
if err != nil {
http.Error(w, "Cannot create file", http.StatusInternalServerError)
return
}
defer dst.Close()
_, err = io.Copy(dst, file)
if err != nil {
http.Error(w, "Failed to save file", http.StatusInternalServerError)
return
}
}
用req.MultipartForm.File处理多文件或同名多个文件
当HTML中使用，或存在多个name="file"字段时，req.FormFile只能取第一个，必须改用req.MultipartForm.File["files"]获取[]*multipart.FileHeader切片。
立即学习“go语言免费学习笔记（深入）”；
一套面向小企业用户的企业网站程序！功能简单，操作简单。实现了小企业网站的很多实用的功能，如文章新闻模块、图片展示、产品列表以及小型的下载功能，还同时增加了邮件订阅等相应模块。公告，友情链接等这些通用功能本程序也同样都集成了！同时本程序引入了模块功能，只要在系统默认模板上创建模块，可以在任何一个语言环境（或任意风格）的适当位置进行使用！
此时每个FileHeader仍需单独Open()，且Open()返回的io.ReadCloser必须显式Close()，否则文件句柄泄漏。
-
req.MultipartForm.File返回的是切片，空切片表示没匹配到该name的文件 - 每个
fileHeader.Open()后必须defer file.Close()，否则临时文件不清理、内存不释放 - 并发上传时，
ParseMultipartForm是线程安全的，但文件写入需自行加锁或隔离路径
大文件上传与流式处理的边界在哪里
Go的ParseMultipartForm默认把整个请求体读入内存或临时磁盘，对GB级文件不友好。若需真正流式上传（边收边转存/校验），必须绕过ParseMultipartForm，手动解析multipart.Reader。
这意味着放弃req.FormValue等便利方法，自己用mime/multipart.NewReader逐part解析，并区分Content-Disposition中的name和filename字段。这增加了代码复杂度，但能控制缓冲区大小、提前终止恶意上传、实时计算哈希。
- 流式解析需手动处理boundary，
multipart.NewReader(req.Body, boundary)的boundary从req.Header.Get("Content-Type")中提取 - 无法再用
req.FormValue("token")，所有表单字段也得在流中一并解析 - 生产环境若需断点续传、秒传、分片，应交由Nginx或专用服务（如MinIO presigned URL）处理，Go后端只做回调校验
真正难的不是“怎么传”，而是“怎么安全地收”——文件名清洗、大小限制、类型校验、临时目录权限、杀毒集成、存储路径隔离，这些细节比调用FormFile容易被忽略得多。
