手动校验是Go中处理表单最轻量可控的方式，需先调用r.ParseForm()，空值用strings.TrimSpace判断，数字用strconv解析，邮箱用mail.ParseAddress验证。
用 net/http + 手动校验是最轻量且可控的方式
Go 标准库不内置表单验证逻辑，直接读取 r.FormValue("name") 后自行判断是最常见做法。这种方式没有额外依赖，适合简单表单或需要精细控制错误返回的场景。
注意：必须先调用 r.ParseForm()，否则 r.FormValue 返回空字符串；若表单含文件上传，应改用 r.ParseMultipartForm()。
- 空值检查用
strings.TrimSpace(val) == ""，避免仅含空格被误认为有效 - 数字字段优先用
strconv.Atoi或strconv.ParseInt，别用int(val)强转（会 panic） - 邮箱格式建议用
mail.ParseAddress而非正则——它能处理带引号、加号别名等合法但复杂的地址
go-playground/validator
- 安装：
go get github.com/go-playground/validator/v10 - 绑定表单前务必调用
r.ParseForm()，否则Decoder.Decode()无法读取值 - 对
time.Time字段验证日期格式，需配合time_layouttag，例如validate:"required,time_layout:2006-01-02"
type SignupForm struct {
Email string `form:"email" validate:"required,email"`
Password string `form:"password" validate:"required,min=8"`
Age int `form:"age" validate:"required,gte=13,lte=120"`
}
func signupHandler(w http.ResponseWriter, r *http.Request) {
if err := r.ParseForm(); err != nil {
http.Error(w, "Parse form failed", http.StatusBadRequest)
return
}
var form SignupForm
if err := r.ParseForm(); err != nil {
http.Error(w, "Parse form failed", http.StatusBadRequest)
return
}
if err := decoder.Decode(&form, r.PostForm); err != nil {
http.Error(w, "Decode failed", http.StatusBadRequest)
return
}
validate := validator.New()
if err := validate.Struct(form); err != nil {
for _, e := range err.(validator.ValidationErrors) {
http.Error(w, e.Error(), http.StatusBadRequest)
return
}
}
// 验证通过
}
前端提交前用 required 和 type="email" 只是辅助，不能替代后端验证
HTML5 表单属性（如 required、type="email"、minlength）只在浏览器端生效，可被绕过。用户禁用 JS、用 curl 或 Postman 直接发请求时，这些限制完全无效。
-
type="number"并不阻止用户输入字母——它只是触发浏览器数字键盘，实际提交仍是字符串 - 前端正则（如
pattern）同样可被跳过，仅用于改善用户体验 - 敏感校验（如密码强度、用户名唯一性、权限检查）必须放在服务端，且应在事务中完成（例如查库+插入需同一事务）
验证失败时返回 JSON 还是重定向？取决于交互模式
纯 HTML 表单提交（）应返回 http.Redirect 或渲染带错误信息的页面；AJAX 提交则统一返回 JSON 错误，由前端处理提示。
- 重定向时，错误信息需通过
flash message（如存 session）传递，否则 GET 请求无处携带 - 返回 JSON 时，状态码建议用
400 Bad Request，不要用200 OK包装错误字段 - 若同时支持两种方式（如 SPA + 降级 HTML），可在 header 检查
X-Requested-With: XMLHttpRequest或 content-type 判断
Gin、Echo 等框架的验证中间件本质也是封装了类似逻辑，但底层逃不开解析、结构绑定、规则执行这三步。真正容易被忽略的是：**错误信息是否暴露过多（比如数据库唯一约束失败直接返回“duplicate key”）、时间戳/金额类字段是否做了范围截断、以及所有用户输入是否经过 UTF-8 解码校验（防止编码绕过）**。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
