在Golang的Web开发中，处理客户端提交的多文件上传请求是常见需求，例如用户一次选择数张图片或文档批量提交。标准库net/http结合mime/multipart已经提供了完整的解析能力，不需要引入第三方框架也能稳定实现。理解请求体的分段结构以及服务器端读取文件的流程，是写出健壮上传接口的前提。
一、前端表单如何组织多文件
浏览器侧需要使用enctype为multipart/form-data的表单，并且多个文件输入框或者一个支持multiple的输入框，其name属性必须相同。只有这样，后端才能通过同一个字段名拿到文件切片集合。如果name不一致，服务端会将其视为不同字段，遍历时容易遗漏。
下面是一个最简单的前端页面示例，用户可一次选择多个日志文件并提交到/upload接口：
<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8">
<title>多文件上传</title>
</head>
<body>
<form action="/upload" method="post" enctype="multipart/form-data">
<input type="file" name="attachments" multiple>
<button type="submit">上传</button>
</form>
</body>
</html>
这里input的name是attachments，multiple属性允许用户框选多个文件。提交后，浏览器会把每个文件作为单独的分段放进请求体，但都使用attachments这个字段名。服务端解析时就能通过它获取所有文件句柄。
二、Golang后端接收多文件
在Golang中，可以通过Request.FormFile方法逐个获取，但多文件更方便的做法是调用ParseMultipartForm后再访问MultipartForm.File。该方法返回一个map，key是字段名，value是该字段下的多个文件头。我们需要对其遍历，并限制单文件大小和总数量，防止恶意请求打满内存。
以下代码展示了一个基础handler，它先解析表单，再循环处理名为attachments的文件：
package main
import (
"fmt"
"io"
"net/http"
"os"
"path/filepath"
)
func uploadHandler(w http.ResponseWriter, r *http.Request) {
// 限制每次解析最多使用32MB内存，超出部分写临时文件
err := r.ParseMultipartForm(32 << 20)
if err != nil {
http.Error(w, "解析表单失败", http.StatusBadRequest)
return
}
files := r.MultipartForm.File["attachments"]
if len(files) == 0 {
http.Error(w, "未找到上传文件", http.StatusBadRequest)
return
}
saved := make([]string, 0, len(files))
for _, fileHeader := range files {
// 打开客户端上传的文件
src, err := fileHeader.Open()
if err != nil {
http.Error(w, "打开文件失败", http.StatusInternalServerError)
return
}
// 拼接本地保存路径，注意用Base避免路径遍历
dstPath := filepath.Join("uploads", filepath.Base(fileHeader.Filename))
dst, err := os.Create(dstPath)
if err != nil {
src.Close()
http.Error(w, "创建本地文件失败", http.StatusInternalServerError)
return
}
_, err = io.Copy(dst, src)
src.Close()
dst.Close()
if err != nil {
http.Error(w, "保存文件失败", http.StatusInternalServerError)
return
}
saved = append(saved, dstPath)
}
fmt.Fprintf(w, "已保存 %d 个文件: %v", len(saved), saved)
}
func main() {
http.HandleFunc("/upload", uploadHandler)
http.ListenAndServe(":8080", nil)
}
这段代码中，ParseMultipartForm的参数是内存缓冲上限。若上传总大小超过该值，其余内容会暂存到系统临时目录，因此不会直接撑爆进程内存。遍历File["attachments"]时，每个元素都是*multipart.FileHeader，通过Open方法得到可读流，随后用os.Create建立本地文件并拷贝数据。
需要注意filepath.Base的使用。客户端传来的Filename可能包含../之类的路径片段，若直接拼接会造成任意文件写入漏洞。用Base截取纯文件名是必要的安全习惯。同时，每次操作完都要关闭src和dst，否则会出现文件描述符泄露。
三、增加类型与大小校验
上面的示例没有限制文件种类，任何文件都能落盘。生产环境通常只允许图片或特定文档，并控制单文件尺寸。我们可以在拷贝前读取文件头判断MIME，或者简单校验扩展名，并结合fileHeader.Size做体积拦截。
下面是在保存前增加扩展名和白名单检查的改进片段：
func isAllowedExt(name string) bool {
ext := filepath.Ext(name)
switch ext {
case ".jpg", ".png", ".pdf":
return true
default:
return false
}
}
// 在for循环内部、os.Create之前加入：
if !isAllowedExt(fileHeader.Filename) {
src.Close()
http.Error(w, "文件类型不被允许", http.StatusBadRequest)
return
}
if fileHeader.Size > 10<<20 {
src.Close()
http.Error(w, "文件超过10MB", http.StatusBadRequest)
return
}
扩展名检查能挡住大部分误传，但若要求更严，可在io.Copy过程中读取前512字节用http.DetectContentType识别真实类型。Size字段由客户端头提供，虽可被伪造，但配合后续读取上限仍能起到第一道闸门作用。实际部署时，建议把保存目录放在非执行权限路径，并定期清理临时文件。
此外，高并发上传可以考虑将文件写入对象存储而非本地磁盘，上述代码只需把os.Create和io.Copy替换为SDK的PutObject调用，整体结构不变。这样也更容易做水平扩容，避免单节点磁盘成为瓶颈。
四、常见误区与排查
不少初学者会直接用FormValue去取文件，结果拿到空字符串。这是因为FormValue只适用于普通字段，二进制文件必须使用FormFile或MultipartForm。另一个误区是忘记调用ParseMultipartForm，直接访问MultipartForm会得到nil，进而引发空指针异常。
还有人习惯把r.Body全部读入内存再手动解析，这不仅重复造轮子，还容易在大文件时导致OOM。标准库的分段解析已经帮我们处理好边界和编码，应当优先使用。若发现某些文件没有保存，请先确认前端input的name是否一致，以及是否有文件因为大小限制被静默跳过。
通过合理设置内存阈值、校验文件属性并安全拼接路径，Golang处理多文件上传并不复杂。掌握这些细节后，你可以轻松将其封装成中间件，为不同业务提供统一的附件接收能力。