Spring Boot文件上传实际分为四段：浏览器提交、容器写入临时盘、业务代码用transferTo搬到业务目录、再将目录映射为URL；四段各有配置和失败点。关键结论：单文件默认上限1MB、请求默认10MB，临时目录配置键是spring.servlet.multipart.location；transferTo传相对路径会落到容器工作目录，应使用绝对路径和Path重载；原始文件名不可信，须截取文件名、由服务端生成存储名并防路径穿越；静态资源映射不鉴权，下载应流式并正确编码中文名。本机磁盘方案存在多副本、容量和冗余限制，可替换为对象存储与预签名URL。