gin 中 validator 必须显式替换默认实例并赋值 engine.validator，否则 binding 标签（如 email、oneof、自定义规则）静默失效；query/json/form 需分结构体绑定；防重放需结合时间戳与唯一 nonce 缓存校验；body 复用须先读取再重置 body 流。
validator 必须提前注册并替换 Gin 默认实例
直接 c.ShouldBind(&req) 用的是 Gin 内置的旧版 validator v9，很多新规则（比如 email、oneof、自定义函数）会静默失效。不显式替换，等于白配标签。
关键动作只有两步：
- 创建新
validator.Validate实例，调用RegisterValidation加入手机号、身份证等自定义规则 - 在 Gin engine 初始化后、启动前，赋值
engine.Validator = &defaultValidator{validator: v, trans: trans}——不是中间件里改，也不是router.Use()里设
漏掉第二步，所有 binding 标签都走默认逻辑，required 可能还凑合，但 gt=0 或 mobile 就完全不触发。
query / json / form 必须分结构体，不能混绑
Gin 的 c.ShouldBindJSON()、c.ShouldBindQuery()、c.ShouldBind() 各走各的解析路径，底层不共享字段映射逻辑。强行用一个 struct 同时带 json:"x" 和 form:"x" 标签，会因解析顺序或空值覆盖导致校验错位。
正确做法是按输入来源拆结构体：
-
GET /api/search?keyword=go&page=1→ 用SearchQuery，字段打form:"keyword"+binding:"required" -
POST /api/user带 JSON body → 用CreateUserReq，字段打json:"name"+binding:"required,min=2" - 表单上传（
multipart/form-data）→ 单独结构体，且签名中间件必须跳过它（否则req.Body被读空，后续ParseMultipartForm失败）
时间戳+nonce防重放必须服务端存状态
只校验 abs(now.Unix()-ts) 是典型漏洞：攻击者截获一次合法请求，5 分钟内无限重放。必须引入唯一性约束。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
核心机制：
- 客户端随请求传
X-Timestamp（单位秒）和X-Nonce（随机字符串） - 服务端收到后，先检查时间偏移是否超 2 分钟（防客户端时间严重超前），再查
"sig:nonce:" + userID + ":" + nonce是否已存在 Redis 或本地 LRU cache 中 - cache key 必须含
userID，否则不同用户用相同 nonce 会误判冲突 - TTL 设为 310 秒（略大于时间窗口），避免刚过期就重放
没这层缓存校验，签名就只剩防篡改，不防重放。
body 复用不处理，下游永远读不到数据
签名中间件要算 HMAC，就得读 req.Body；但 Go 的 http.Request.Body 是单次可读流。一旦 io.ReadAll(req.Body) 执行完，后续业务 handler 调用 json.NewDecoder(r.Body).Decode(&v) 就返回 EOF 或空对象。
安全复用三步不能少：
- 用
io.ReadAll(req.Body)拿到原始字节b - 立即重置：
req.Body = io.NopCloser(bytes.NewReader(b)) - 用
b计算签名，同时把b交给下游解析
漏第二步，所有 JSON 解析都会失败；漏第三步，签名白算。还要加 http.MaxBytesReader 限大小，防恶意大 body 耗尽内存。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
