必须调用 parsemultipartform 而非仅 parseform 才能正确解析含文件上传的 multipart/form-data 表单，parseform 仅处理 application/x-www-form-urlencoded 和 url 参数，且 parsemultipartform 需指定合理 maxmemory 避免性能问题。
直接用 ParseForm 会丢数据，别跳过 ParseMultipartForm
如果你的表单包含文件上传（type="file"）或混合文本+二进制内容，只调用 ParseForm() 是不够的——它完全忽略 multipart/form-data 编码，导致 r.Form 为空或字段缺失。
-
ParseForm()只处理application/x-www-form-urlencoded和 URL 查询参数 -
ParseMultipartForm(maxMemory int64)才能解析multipart/form-data，且必须在读取r.MultipartForm前调用 - 未设置
maxMemory（如传0）会导致全部文件写入磁盘，显著拖慢小请求；设太小（如32 ）又可能触发临时文件回退，增加 I/O - 常见错误：先读
r.FormValue("xxx")再调ParseMultipartForm——此时r.Body已被消费，解析失败并静默返回空值
结构体绑定别硬写 r.Form.Get，用 gorilla/schema 更稳
手动从 r.Form 提取每个字段再转类型，容易漏判空值、类型转换失败、嵌套字段（如 address.city）根本没法处理。用 gorilla/schema 能把表单数据一次性解码进结构体，还支持标签控制行为。
- 结构体字段加
schema:"name"标签，自动映射name=xxx表单字段 - 支持切片：
Tags []string `schema:"tags"`可接收多个同名字段（tags=a&tags=b） - 嵌套结构体需显式声明：
Address AddressInfo `schema:"address"`，且子结构体字段也要带schema标签 - 注意：该库不校验，仅做绑定；若字段类型不匹配（如字符串填进
int字段），解码会静默失败，返回零值——务必检查err
html/template 渲染表单时，{{.Field}} 不等于安全输出
模板里直接写 {{.Username}} 会原样输出用户输入，XSS 风险极高。但如果你用 html/template（不是 text/template），它默认对所有 {{.X}} 做 HTML 转义，这点没问题；真正容易踩坑的是表单属性值填充。
-
<input name="username" value="{{.Username}}">—— 这里value属性内的双引号、&等字符不会被自动转义，必须用{{.Username | html}}显式管道过滤 - 不要用
template.HTML类型绕过转义，除非你 100% 确认内容可信（比如后台生成的富文本摘要） - CSRF token 必须在模板中显式插入：
<input type="hidden" name="csrf_token" value="{{.CSRFToken}}">，且后端需验证该 token 是否有效
动态字段逻辑别塞进模板，用 Go 结构体 + 条件渲染更可控
所谓“动态表单”，常指字段随业务状态增减（如添加多个联系人、条件显示地址字段）。把这类逻辑全扔进模板里写 {{if .ShowAddress}}...{{end}}，会让模板臃肿、难测试、无法复用。
- 在 handler 中根据业务规则构造结构体（如
type Form struct { ShowAddress bool; Contacts []Contact }），再传给模板 - 模板只负责呈现，不决定“要不要显示”——判断逻辑留在 Go 层，便于单元测试和复用
- 如果字段数量不确定（如动态添加的
contact[]），确保前端命名符合约定（contact[0].name），后端用gorilla/schema或自定义解码器处理索引数组 - 注意：HTML
name属性中的方括号（contact[0].name）会被gorilla/schema自动识别为嵌套结构，但需结构体字段名与路径严格对应
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
