Go图片上传与展示需处理三件事：接收HTTP文件上传、安全保存（防路径遍历/类型伪造）、正确提供静态访问；用net/http解析multipart/form-data，调用r.ParseMultipartForm触发解析，再从r.MultipartForm.File获取文件头。
在 Go 中构建图片上传与展示应用，核心是处理好三件事：接收 HTTP 文件上传、安全地保存文件（避免路径遍历、类型伪造等）、再通过 HTTP 正确提供静态访问。不需要框架也能干净实现，关键是理清职责边界。
接收并解析 multipart 表单上传
Go 标准库 net/http 原生支持 multipart/form-data。关键不是读整个 body，而是用 r.ParseMultipartForm 触发解析，再从 r.MultipartForm.File 获取文件头信息：
- 调用
r.ParseMultipartForm(32 设置内存上限（如 32MB），超限会自动流式写入临时磁盘 - 通过
file, header, err := r.FormFile("image")获取上传的文件句柄和原始文件名 - 务必检查
header.Header.Get("Content-Type")，但不能全信——需结合魔数校验（见下一条）
安全保存图片：校验 + 重命名 + 存储路径隔离
直接用用户传的文件名或 Content-Type 保存极不安全。应做三层防护：
-
魔数校验：读取文件前几个字节，比对 JPEG（
FF D8 FF）、PNG（89 50 4E 47）、GIF（47 49 46 38）等真实签名，拒绝非图文件 -
重命名生成唯一文件名：用
uuid.New().String() + filepath.Ext(header.Filename)，彻底脱离原始名称 -
存储路径与 Web 路径分离：把图片存到
./uploads/这类非 public 目录；对外提供服务时，用独立的静态路由（如/images/）映射过去，不暴露真实路径
提供图片访问：静态文件服务 + 缓存控制
不要手写 http.ServeFile 处理每个请求。推荐两种方式：
立即学习“go语言免费学习笔记（深入）”；
- 用
http.StripPrefix+http.FileServer挂载子路径：http.Handle("/images/", http.StripPrefix("/images/", http.FileServer(http.Dir("./uploads/")))) - 若需细粒度控制（如鉴权、日志、缓存头），自定义 handler：读取文件后手动设置
w.Header().Set("Content-Type", "image/jpeg")和"Cache-Control: public, max-age=86400" - 注意：确保
./uploads/目录存在且进程有读写权限；生产环境建议用绝对路径或配置项指定
前端配合要点（HTML + JS）
后端再健壮，前端也得配好才能上传成功：
- 表单必须设
enctype="multipart/form-data"，否则文件不会被发送 - input 类型为
，限制选择范围 - 提交用
fetch或FormData更可控，例如：const fd = new FormData(); fd.append("image", file); fetch("/upload", { method: "POST", body: fd }); - 展示时直接用
