Java文件上传下载核心是HTTP数据流处理、路径管理与安全控制；Spring Boot提供便捷支持但需理解底层逻辑，上传需校验文件名、大小并重命名，下载需正确设置响应头并流式传输。
Java中实现文件上传与下载，核心在于正确处理HTTP协议的数据流、合理管理文件存储路径、兼顾安全性与用户体验。Spring Boot生态提供了成熟便捷的支持，无需从零封装Servlet，但需理解底层逻辑才能规避常见坑点。
文件上传：接收多部分表单并安全落地
前端使用配合enctype="multipart/form-data"提交；后端用@RequestParam("file") MultipartFile file接收。关键注意三点：
- 必须在配置中启用 multipart 支持（Spring Boot 2.0+ 默认开启，但需确认
spring.servlet.multipart.max-file-size等参数是否满足业务需求） - 校验原始文件名，避免路径遍历攻击（如过滤
../、替换\为/，或直接使用UUID重命名） - 检查
file.isEmpty()和file.getSize()，防止空文件或超大文件写入磁盘
示例保存逻辑：
String uploadDir = "/opt/uploads/"; Files.createDirectories(Paths.get(uploadDir)); String safeFilename = UUID.randomUUID() + "_" + file.getOriginalFilename(); Path targetPath = Paths.get(uploadDir, safeFilename); file.transferTo(targetPath);
文件下载：按需响应流式输出，支持中文名与断点续传
下载本质是构造正确的HTTP响应头，再将文件字节写入HttpServletResponse.getOutputStream()。重点如下：
立即学习“Java免费学习笔记（深入）”；
- 设置
Content-Type为application/octet-stream（通用二进制）或根据扩展名动态推断（如image/png） - 用
Content-Disposition声明附件及文件名，中文名需用URLEncoder.encode(filename, "UTF-8")并加filename*=UTF-8''...格式兼容浏览器 - 建议添加
Content-Length和Accept-Ranges: bytes以支持断点续传（尤其大文件）
小文件可直接读入内存返回；大文件务必用Files.copy(path, response.getOutputStream())流式传输，避免OOM。
生产级增强：存储分离、进度反馈与权限控制
单机文件系统仅适用于原型或低并发场景。上线前应考虑：
- 存储解耦：对接MinIO、阿里OSS或腾讯COS，用统一的
FileStorageService接口屏蔽差异 - 上传进度：前端用
XMLHttpRequest.upload.onprogress，后端通过StreamingResponseBody或WebSocket推送状态 - 权限校验：下载前验证用户是否有权访问该文件ID（例如查数据库记录、比对所属租户），禁止直接暴露物理路径
- 临时文件清理：上传失败或超时的临时文件需定时扫描清理（如用
ScheduledExecutorService）
避坑提醒：编码、时区与容器部署细节
本地调试正常，上线后出问题？常因以下原因：
- Linux服务器默认字符集非UTF-8，导致中文文件名乱码——启动JVM时加
-Dfile.encoding=UTF-8 - Docker容器内未挂载持久化卷，重启后上传文件丢失——确保
/opt/uploads映射到宿主机或网络存储 - Nginx作为反向代理时，默认限制了请求体大小（
client_max_body_size 10M），需同步调大 - Spring Boot 3.x起默认禁用
javax.servlet，若用传统Filter做上传拦截，需切换为jakarta.servlet包
不复杂但容易忽略，上线前逐项核对更稳妥。
