摘要：作为互联网软件开发人员，文件上传功能几乎是项目开发中的 “必备操作”—— 用户头像上传、Excel 数据导入、附件提交…… 但实际开发中，你是不是经常遇到这些困扰？
作为互联网软件开发人员，文件上传功能几乎是项目开发中的 “必备操作”—— 用户头像上传、Excel 数据导入、附件提交…… 但实际开发中，你是不是经常遇到这些困扰？
“Spring Boot 3 升级后，原来的文件上传配置突然报错？”“大文件上传时频繁超时，还出现 OOM 异常？”“不同格式的文件校验太繁琐，容易被恶意文件攻击？”“上传后的文件路径管理混乱，部署到服务器后找不到文件？”
其实这些问题都不是个例！很多开发在 Spring Boot 3 中实现文件上传时，要么沿用旧版本的配置导致兼容问题，要么忽略了安全校验和性能优化，最终让简单的功能变成 “踩坑重灾区”。今天就手把手教你一套标准化实现方案，从基础配置到进阶优化全覆盖，30 分钟就能直接落地到项目中！
在开始实现前，我们先搞清楚 Spring Boot 3 在文件上传功能上的核心调整 —— 毕竟升级后的版本在底层依赖和配置方式上都有不少变化，摸清这些才能避免踩坑。
首先，Spring Boot 3 默认依赖 Spring Framework 6，文件上传的核心组件从spring-web的MultipartResolver升级为更高效的StandardservletMultipartResolver，默认支持的单文件大小从 1MB 提升到 10MB，批量上传总大小从 10MB 提升到 100MB，无需额外配置就能满足大部分常规需求。
其次，Spring Boot 3 对 java 17 + 的特性进行了优化，支持通过@Value注解直接绑定配置文件中的路径参数，还能结合Path类替代传统的File类操作文件，避免出现路径分隔符兼容问题（Windows 的\和 Linux 的/自动适配）。
另外，安全性方面，Spring Boot 3 默认集成的 Tomcat 10 + 增强了文件上传的校验机制，能自动拦截恶意文件（如.jsp、.php脚本文件），但仍需要我们手动补充文件格式、大小的自定义校验，才能彻底杜绝安全风险。
如果是 Maven 项目，pom.xml中只需保留核心 web 依赖即可：
org.springframework.bootspring-boot-starter-webGradle 项目同理，无需额外引入文件上传相关依赖。
在配置文件中添加文件上传的基础参数，按需调整大小限制和存储路径：
spring: servlet: multipart: enabled: true # 启用文件上传 max-file-size: 50MB # 单文件最大大小（默认10MB，可按需调整） max-Request-size: 200MB # 单次请求总文件大小（默认100MB） file-size-threshold: 10MB # 超过该大小的文件会写入磁盘，否则存在内存中 location: D:/upload/temp # 临时文件存储路径（Linux可改为/var/upload/temp）# 自定义文件存储路径（建议配置，方便后续管理）upload: base-path: D:/upload/files # 最终文件存储目录 allowed-types: image/jpeg,image/png,application/pdf,application/vnd.openxmlformats-officedocument.spreadsheetml.sheet # 允许上传的文件类型创建FileUploadController，编写基础上传接口，包含文件接收、格式校验、路径存储等核心逻辑：
import org.springframework.beans.factory.annotation.Value;import org.springframework.web.bind.annotation.PostMapping;import org.springframework.web.bind.annotation.RequestParam;import org.springframework.web.bind.annotation.RestController;import org.springframework.web.multipart.MultipartFile;import java.io.IOException;import java.nio.file.Files;import java.nio.file.Path;import java.nio.file.Paths;import java.util.UUID;@RestControllerpublic class FileUploadController { // 注入自定义存储路径 @Value("${upload.base-path}") private String basePath; @Value("${upload.allowed-types}") private String allowedTypes; @PostMapping("/upload/single") public String singleFileUpload(@RequestParam("file") MultipartFile file) { // 1. 校验文件是否为空 if (file.isEmpty) { return "上传失败：文件不能为空！"; } // 2. 校验文件类型 String contentType = file.getContentType; boolean isAllowed = false; for (String type : allowedTypes) { if (type.equals(contentType)) { isAllowed = true; break; } } if (!isAllowed) { return "上传失败：不支持的文件类型！允许的类型：" + String.join(",", allowedTypes); } // 3. 生成唯一文件名（避免重名覆盖） String originalFilename = file.getOriginalFilename; String suffix = originalFilename.substring(originalFilename.lastIndexOf(".")); String fileName = UUID.randomUUID + suffix; // 4. 创建存储目录（不存在则自动创建） Path path = Paths.get(basePath); if (!Files.exists(path)) { try { Files.createDirectories(path); } catch (IOException e) { return "上传失败：创建存储目录失败！" + e.getMessage; } } // 5. 保存文件到指定路径 try { Files.copy(file.getInputStream, path.resolve(fileName)); return "上传成功！文件路径：" + basePath + "/" + fileName; } catch (IOException e) { return "上传失败：" + e.getMessage; } }}在FileUploadController中添加多文件上传接口，逻辑与单文件类似，只需将MultipartFile改为数组：
@PostMapping("/upload/multiple")public String multipleFileUpload(@RequestParam("files") MultipartFile files) { if (files.length == 0) { return "上传失败：请选择至少一个文件！"; } StringBuilder result = new StringBuilder; for (MultipartFile file : files) { // 复用单文件上传的校验和存储逻辑 if (file.isEmpty) { result.append("文件").append(file.getOriginalFilename).append("上传失败：文件为空！\n"); continue; } // （省略文件类型校验、文件名生成、目录创建逻辑，与单文件一致） try { String originalFilename = file.getOriginalFilename; String suffix = originalFilename.substring(originalFilename.lastIndexOf(".")); String fileName = UUID.randomUUID + suffix; Path path = Paths.get(basePath); if (!Files.exists(path)) { Files.createDirectories(path); } Files.copy(file.getInputStream, path.resolve(fileName)); result.append("文件").append(originalFilename).append("上传成功！路径：").append(basePath).append("/").append(fileName).append("\n"); } catch (IOException e) { result.append("文件").append(file.getOriginalFilename).append("上传失败：").append(e.getMessage).append("\n"); } } return result.toString;}对于大文件（如 100MB 以上），直接上传容易超时，断点续传能将文件分片上传，再合并为完整文件。核心步骤如下：
前端：将文件按固定大小（如 5MB）分片，每个分片携带fileId（文件唯一标识）、chunkIndex（分片索引）、totalChunks（总分片数）后端：接收分片并存储到临时目录，所有分片上传完成后，合并为完整文件并删除临时分片关键代码片段（后端合并逻辑）：
// 合并分片文件private String mergeChunks(String fileId, String originalFilename, int totalChunks) { String suffix = originalFilename.substring(originalFilename.lastIndexOf(".")); String finalFileName = UUID.randomUUID + suffix; Path finalPath = Paths.get(basePath).resolve(finalFileName); Path tempDir = Paths.get(basePath).resolve("temp/" + fileId); try { // 按分片索引排序并合并 Files.list(tempDir) .sorted((p1, p2) -> { int index1 = Integer.parseInt(p1.getFileName.toString.split("_")[1]); int index2 = Integer.parseInt(p2.getFileName.toString.split("_")[1]); return Integer.compare(index1, index2); }) .forEach(path -> { try { Files.write(finalPath, Files.readAllBytes(path), StandardOpenOption.CREATE, StandardOpenOption.APPEND); Files.delete(path); // 合并后删除分片 } catch (IOException e) { throw new RuntimeException("合并分片失败：" + e.getMessage); } }); Files.delete(tempDir); // 删除临时目录 return "断点续传成功！文件路径：" + finalPath; } catch (IOException e) { return "合并分片失败：" + e.getMessage; }}严格校验文件类型：除了通过contentType校验，还可通过文件头信息（如 JPG 的文件头为FFD8FF）二次校验，防止恶意文件伪装格式限制文件存储目录：通过Paths.get(basePath).resolve(fileName)确保文件只能存储在指定目录，避免路径穿越攻击（如上传文件名为../../etc/passwd）定期清理临时文件：可通过定时任务（@Scheduled）清理超过 24 小时的临时文件，避免磁盘空间占用过大以上就是 Spring Boot 3 文件上传的完整实现方案 —— 从基础的单文件上传，到进阶的多文件上传、断点续传，再到安全与性能优化，覆盖了项目开发中的常见场景。其实只要掌握了核心配置和校验逻辑，文件上传功能并没有那么复杂，按照本文的步骤一步步实操，30 分钟就能落地到你的项目中。
最后，邀请你做两件事：
动手尝试本文的代码，结合自己的项目需求调整配置（比如修改文件大小限制、允许的文件类型），遇到问题可以在评论区留言讨论；如果你还想了解文件上传的延伸知识点（如集成 MinIO 实现分布式存储、文件上传进度条实现、OSS 云存储对接等），欢迎在评论区告诉我，后续会为大家带来更深入的技术分享！技术学习的核心在于实操，赶紧把这套方案用起来，让文件上传功能不再成为你的开发痛点吧！
来源：从程序员到架构师
