Go http.MaxBytesReader 超限后为何仍能写响应：请求体上限、错误语义与连接收尾

上传接口把请求体限制在 1 MiB 后，测试却发现一个奇怪现象：客户端发来更大的内容时，服务端仍然可以写出 JSON 响应。这里并不矛盾，http.MaxBytesReader 负责限制后续读取能拿到多少字节，是否返回 400、是否停止业务处理，仍由处理器自己决定。

先把请求体限制放在真正的读取入口

一次上传接口通常会先取表单、JSON 或 multipart 数据，再把字段交给业务层。如果限制加在解析之后，前面的读取已经把风险放过去了。比较稳妥的做法是，在进入解析器之前替换 r.Body：

const maxUploadSize = 1 

这里的关键顺序有两个。第一，包装器必须先于 json.Decoder；第二，解析出错后马上返回。不要在错误分支继续调用保存、消息投递或审计逻辑，否则客户端已经拿到失败响应，服务端却还可能留下半条业务记录。

超限发生在读取时，不是设置上限时

http.MaxBytesReader 创建时只保存读取边界。真正超过限制，通常要等解析器继续读到上限之后才暴露错误。也就是说，下面这段代码不能判断请求是否超限：

r.Body = http.MaxBytesReader(w, r.Body, maxUploadSize)
// 到这里还没有读取动作，不能据此返回 413。

解析器可能已经读完一个小 JSON，也可能在读取某个字段时遇到上限。判断必须围绕读取返回值，而不是围绕包装器是否创建成功。对于 JSON 接口，记录错误类型和请求大小即可；不要把完整请求体写入日志。

把响应状态码和错误路径收在同一个出口

HTTP 响应一旦写入状态码或第一段正文，后面再调用 http.Error 就不能可靠地改成 413。实际项目里常见的坑是：先写了一个“开始处理”的 JSON，再发现请求体超限，最后日志显示了错误，但客户端收到的仍是 200。

推荐让解析阶段只返回结果，不碰响应；由处理器在确认错误类型后统一写响应。下面的辅助函数也要在所有字段检查完成后才调用：

func writeJSON(w http.ResponseWriter, status int, value any) {
    w.Header().Set("Content-Type", "application/json")
    w.WriteHeader(status)
    _ = json.NewEncoder(w).Encode(value)
}

func writeBadRequest(w http.ResponseWriter, message string) {
    writeJSON(w, http.StatusBadRequest, map[string]string{"error": message})
}

如果接口还需要区分超限和普通语法错误，可以定义一个内部错误分类，而不是到处匹配字符串。标准库版本变化时，错误文本可能需要重新核对；测试里更应该验收最终状态码、响应字段和业务副作用。

用小请求、大请求和截断请求做三组验收

只测一个正常 JSON 不够。至少准备三组输入：小于上限并成功的请求，超过上限并返回 413 的请求，以及内容长度没有超限但 JSON 被截断的请求。第三组用来确认“读取失败”和“请求太大”没有被错误地合并。

func TestUploadBodyLimit(t *testing.T) {
    cases := []struct {
        name string
        body string
        want int
    }{
        {name: "small", body: `{"name":"ok"}`, want: http.StatusCreated},
        {name: "too-large", body: `{"name":"` + strings.Repeat("x", 1

测试名字里把边界写出来，后面调整上限时更容易发现意外变化。再补一个断言：超限请求不能调用保存函数或发送下游消息。状态码正确但副作用已经发生，同样属于失败。

常见问题：请求体限制怎么验收

请求头的 Content-Length 能不能代替 MaxBytesReader？

不能。它可以作为更早的拒绝线索，但客户端可能不发送、发送错误，或者请求使用分块传输。真正读取时仍需要服务端限制。

返回 413 后还要继续读取完整请求体吗？

不应为了业务逻辑继续解析。由 HTTP 服务器和连接策略处理剩余数据；如果接口对连接复用、超时或代理行为有特殊要求，再用集成测试确认。

限制请求体后还需要字段校验吗？

需要。字节上限只限制总量，不能保证 JSON 字段、字符串长度、数组元素数量或业务权限合法。

把字节上限当成第一道门

http.MaxBytesReader 解决的是“读取最多多少字节”，不是完整的上传安全方案。放置位置要早，超限错误要在读取返回值处处理，响应状态要在正文之前确定，最后用正常、超限和截断三条路径验收。再把超时、字段限制、资源清理和下游调用隔离补齐，接口才不会因为一个边界输入留下半成品。