本文详细介绍如何使用Golang构建一个支持文件上传与下载的HTTP服务，涵盖表单解析、文件保存、路径安全控制及高效流式传输等核心技术点。

在现代Web开发中，文件上传与下载是许多应用的基础功能，如图片分享平台、文档管理系统或云存储服务。Golang凭借其高效的并发处理能力和简洁的语法，非常适合用来构建高性能的文件服务。本文将带你从零开始，用原生net/http包实现一个具备完整上传与下载能力的服务端程序。

首先，我们来搭建一个基础的HTTP服务器。Golang的net/http包提供了开箱即用的路由和请求处理机制。我们定义两个路由：/upload用于接收客户端上传的文件，/download/:filename则根据文件名提供下载服务。

go
package main

import (
"fmt"
"log"
"net/http"
)

func main() {
http.HandleFunc("/upload", uploadHandler)
http.HandleFunc("/download/", downloadHandler)

fmt.Println("Server starting on :8080")
log.Fatal(http.ListenAndServe(":8080", nil))

}

接下来实现文件上传逻辑。浏览器通过multipart/form-data编码提交文件，我们需要使用http.Request的ParseMultipartForm方法解析请求体。该方法会将文件字段提取到内存或临时文件中，便于后续处理。

go
func uploadHandler(w http.ResponseWriter, r *http.Request) {
if r.Method != "POST" {
http.Error(w, "Only POST allowed", http.StatusMethodNotAllowed)
return
}

// 限制上传大小为32MB
err := r.ParseMultipartForm(32 << 20)
if err != nil {
    http.Error(w, "File too large", http.StatusBadRequest)
    return
}

file, handler, err := r.FormFile("file")
if err != nil {
    http.Error(w, "Error retrieving file", http.StatusBadRequest)
    return
}
defer file.Close()

// 创建本地文件用于保存
dst, err := os.Create("./uploads/" + handler.Filename)
if err != nil {
    http.Error(w, "Unable to create file", http.StatusInternalServerError)
    return
}
defer dst.Close()

// 将上传的文件流复制到本地
_, err = io.Copy(dst, file)
if err != nil {
    http.Error(w, "Failed to save file", http.StatusInternalServerError)
    return
}

fmt.Fprintf(w, "File %s uploaded successfully", handler.Filename)

}

上述代码中，我们通过r.FormFile("file")获取前端表单中名为file的文件字段。handler包含了文件名、大小等元信息。使用io.Copy进行流式写入，避免将大文件一次性加载进内存，提升系统稳定性。

为了保证安全性，应避免直接使用用户提供的文件名，防止路径穿越攻击（如../../../etc/passwd）。可以对文件名进行清洗，或使用UUID生成唯一文件名，并保留原始名称作为元数据。

接下来是文件下载功能。我们通过URL路径参数获取请求的文件名，检查文件是否存在，并设置适当的响应头以触发浏览器下载。

go
func downloadHandler(w http.ResponseWriter, r *http.Request) {
filename := strings.TrimPrefix(r.URL.Path, "/download/")
filepath := "./uploads/" + filename

// 简单路径校验
if strings.Contains(filename, "..") {
    http.Error(w, "Invalid path", http.StatusForbidden)
    return
}

_, err := os.Stat(filepath)
if os.IsNotExist(err) {
    http.Error(w, "File not found", http.StatusNotFound)
    return
}

// 设置响应头，提示浏览器下载
w.Header().Set("Content-Disposition", "attachment; filename="+filename)
w.Header().Set("Content-Type", "application/octet-stream")

// 流式输出文件内容
http.ServeFile(w, r, filepath)

}

这里使用http.ServeFile自动处理文件读取和分块传输，支持断点续传和范围请求。同时，通过Content-Disposition头告知浏览器以附件形式下载，而非直接在页面中打开。

在实际生产环境中，还可进一步优化：使用mime.TypeByExtension设置更精确的Content-Type；引入中间件记录访问日志；结合数据库存储文件元信息；利用sync.Pool或context控制超时与并发。

整个流程无需依赖第三方框架，完全基于Golang标准库实现，轻量且可控。无论是小型工具还是大型系统，这种模式都具备良好的扩展性。

通过合理组织目录结构、添加错误日志和监控，即可快速部署一个稳定可靠的文件服务。Golang的静态编译特性也让部署变得极为简单，只需将二进制文件复制到目标机器即可运行。