Golang如何正确限制HTTP请求大小？遇连接重置问题求解

问题描述 #

初始问题 #

我正在学习使用Golang作为服务端语言，在处理表单时，希望防止恶意客户端发送超大（multipart/form-data类型表单场景）文件导致服务器内存耗尽。目前使用了一段从StackOverflow找到的代码：

part, _ := ioutil.ReadAll(io.LimitReader(r.Body, 8388608))

r.Body = ioutil.NopCloser(io.MultiReader(bytes.NewReader(part), r.Body))

其中r为*http.Request类型。我原以为这段代码有效，但实际发送任意大小文件时，服务器仍会接收完整文件，因此怀疑代码存在问题。想请教：这段代码是否真的无效？我是否遗漏了相关概念？如何正确限制HTTP请求大小？

更新问题 #

我尝试了答案中的代码：

part, _ := ioutil.ReadAll(io.LimitReader(r.Body, 8388608))

r.Body = ioutil.NopCloser(bytes.NewReader(part))

但发送超过8M的文件时，浏览器提示“连接已重置”。请问如何解决该问题？如何在仅读取最大8M内容的同时避免该错误？

问题解答 #

原代码无效的原因 #

你的初始代码确实无法限制请求大小，核心问题出在io.MultiReader的使用上：

• io.LimitReader(r.Body, 8388608)只会读取前8M内容，但后续你又把剩余的r.Body通过MultiReader拼回去了。当后续处理表单（比如调用r.ParseMultipartForm）时，依然会读取完整的请求体，所以服务器还是会接收整个大文件。
• 另外你忽略了错误处理，ioutil.ReadAll可能返回错误，直接忽略会隐藏潜在问题。

正确限制请求大小的方法 #

针对multipart/form-data请求，推荐两种更可靠的方式：

1. 使用http.MaxBytesReader
   这是Golang标准库提供的专门用于限制请求体大小的工具，它会在读取超过限制时返回错误，并且能配合正确的响应处理避免连接异常。使用示例：

   const maxUploadSize = 8 * 1024 * 1024 // 8MB
   r.Body = http.MaxBytesReader(w, r.Body, maxUploadSize)
   // 后续处理表单
   err := r.ParseMultipartForm(maxUploadSize)
   if err != nil {
       var maxBytesErr *http.MaxBytesError
       if errors.As(err, &maxBytesErr) {
           http.Error(w, "文件大小超过8MB限制", http.StatusRequestEntityTooLarge)
       } else {
           http.Error(w, "解析表单失败", http.StatusInternalServerError)
       }
       return
   }
   

   http.MaxBytesReader的优势是会在读取超限后终止读取，不会让服务器继续接收多余数据。

2. 结合ParseMultipartForm参数
   ParseMultipartForm的参数是内存中存储的最大表单数据大小，超过部分会写入临时文件，但这不能阻止客户端发送大文件，只是避免内存耗尽。如果要彻底限制请求体大小，必须结合http.MaxBytesReader使用。

解决“连接已重置”的问题 #

你修改后的代码直接截断了请求体，但没有正确告知客户端，导致TCP连接被强制关闭，浏览器就会提示“连接已重置”。正确的处理方式是：

• 当检测到请求体超过限制时，先返回一个合法的HTTP响应（比如413状态码），然后再结束请求流程，让客户端正常终止连接。
• 不要直接截断请求体后继续处理，而是在读取超限后立即返回错误响应。

示例代码：

const maxUploadSize = 8 * 1024 * 1024
r.Body = http.MaxBytesReader(w, r.Body, maxUploadSize)

err := r.ParseMultipartForm(maxUploadSize)
if err != nil {
    var maxBytesErr *http.MaxBytesError
    if errors.As(err, &maxBytesErr) {
        w.WriteHeader(http.StatusRequestEntityTooLarge)
        fmt.Fprintf(w, "上传文件大小不能超过%dMB", maxUploadSize/1024/1024)
    } else {
        w.WriteHeader(http.StatusBadRequest)
        fmt.Fprintf(w, "表单解析失败: %v", err)
    }
    return
}

// 正常处理表单逻辑

这样客户端会收到明确的413错误提示，而不是连接重置。

内容的提问来源于stack exchange，提问作者Ullr12