http请求体r.Body是单次可读流，未缓冲；若中间件等提前读取或解析（如ParseForm/ParseMultipartForm），handler中再读将得空或io.EOF；ParseMultipartForm需指定内存上限，大文件需合理设置。
为什么 http.HandleFunc 里直接读 r.Body 会失败？
因为 go 的 HTTP 请求体（r.Body）是单次可读的流，且默认未做缓冲。如果中间件、日志或框架提前调用过 r.Body.Read()（比如解析了表单），再在 handler 里读就会返回空或 io.EOF。
- 上传文件必须用
r.ParseMultipartForm()或r.ParseForm()预解析，否则multipart.Reader拿不到字段 -
r.FormValue("xxx")只对已解析的表单有效；没调ParseXxx就调，值为空 - 大文件上传时，
ParseMultipartForm(32 的参数是内存上限（这里是 32MB），超限会报http: request body too large
如何用 req.MultipartReader() 安全读取文件流？
绕过自动解析、手动控制流，适合大文件或需要校验/转换的场景。关键点是：不调 ParseMultipartForm，直接从 r.Body 构造 multipart.Reader，再逐 part 处理。
- 先检查
r.Header.Get("Content-Type")是否以multipart/form-data开头，否则拒绝 - 用
multipart.NewReader(r.Body, boundary)，其中boundary要从Content-Type头里提取，不能硬编码 - 每个
part的Header.Get("Content-Disposition")必须含filename=才视为文件，否则可能是普通字段 - 务必用
io.CopyN(dst, part, maxFileSize)限制写入大小，防止磁盘打满
保存文件前必须检查的三件事
跳过校验直接 os.Create 是生产事故高发区。
- 文件名要 sanitize：
filepath.Base(filename)去掉路径遍历（如../../etc/passwd） - 扩展名要白名单校验：
strings.HasSuffix(strings.ToLower(name), ".jpg")，禁用.php、.js等可执行后缀 - 目标目录需预先存在且可写：
os.MkdirAll(uploadDir, 0755)，否则os.Create报no such file or directory
完整可运行的上传 handler 示例
这个示例支持单文件上传、基础校验、流式保存，无第三方依赖：
func uploadHandler(w http.ResponseWriter, r *http.Request) { if r.Method != "POST" { http.Error(w, "Method not allowed", http.StatusMethodNotAllowed) return } // 检查 Content-Type ct := r.Header.Get("Content-Type") if !strings.HasPrefix(ct, "multipart/form-data") { http.Error(w, "Bad Content-Type", http.StatusBadRequest) return } // 提取 boundary boundary, _ := mime.ParseMediaType(ct) if boundary == "" { http.Error(w, "No boundary in Content-Type", http.StatusBadRequest) return } mr, err := multipart.NewReader(r.Body, boundary["boundary"]) if err != nil { http.Error(w, "Invalid multipart body", http.StatusBadRequest) return } const maxFileSize = 10 << 20 // 10MB for { part, err := mr.NextPart() if err == io.EOF { break } if err != nil { http.Error(w, "Read part failed", http.StatusInternalServerError) return } filename := part.FileName() if filename == "" { continue // skip non-file fields } // Sanitize filename cleanName := filepath.Base(filename) if cleanName == "." || cleanName == ".." { http.Error(w, "Invalid filename", http.StatusBadRequest) return } // Check extension ext := strings.ToLower(filepath.Ext(cleanName)) switch ext { case ".jpg", ".jpeg", ".png", ".gif": // ok default: http.Error(w, "Unsupported file type", http.StatusBadRequest) return } // Open output file out, err := os.Create(filepath.Join("./uploads", cleanName)) if err != nil { http.Error(w, "Cannot create file", http.StatusInternalServerError) return } // Copy with size limit _, err = io.CopyN(out, part, maxFileSize+1) out.Close() if err == io.EOF || err == nil { // success w.WriteHeader(http.StatusOK) w.Write([]byte("uploaded: " + cleanName)) return } else if err == io.ErrShortWrite { http.Error(w, "File too large", http.StatusBadRequest) os.Remove(filepath.Join("./uploads", cleanName)) return } else { os.Remove(filepath.Join("./uploads", cleanName)) http.Error(w, "Write error", http.StatusInternalServerError) return } } http.Error(w, "No file found", http.StatusBadRequest) }注意 io.CopyN 返回 io.ErrShortWrite 表示写满上限，此时必须删掉已创建的空文件，否则残留垃圾文件。