Полное погружение в безопасность загрузки файлов в Go: границы multipart-парсинга, обход allowlist, расхождение имени и содержимого, изоляция обработки и безопасная раздача. Вы научитесь проверять наблюдаемое поведение upload-пайплайна и строить защиту на серверно определённом формате, quarantine и безопасном хранилище.
Механика multipart/form-data в Go, анатомия хендлера загрузки, классификация атак и путь от загрузки до RCE.
Path traversal при ручном разборе сырого Content-Disposition и техники обхода фильтров расширений — двойные расширения, null bytes и регистр. Стандартный FormFile при этом возвращает basename.
Теория различает MIME из multipart, расширение, server-side sniffing и структурное декодирование. Связанная практика проверяет только расхождение расширения и содержимого, а не обход DetectContentType или magic bytes.
Генерация безопасных имён, изоляция хранилища, очистка метаданных и Defense in Depth для загрузок.
Синтез всех модулей, сравнительные таблицы, реальные CVE, production чек-лист и стратегия многослойной защиты.