gin渲染html需三要素：模板正确加载、数据字段可导出且键名严格一致；用loadhtmlglob注册模板，c.html()渲染并传data，模板中用{{.key}}取值，大小写敏感。
模板文件路径必须放在 gin.Engine 的 HTMLRender 中注册
Gin 默认不自动扫描模板目录，LoadHTMLGlob 或 LoadHTMLFiles 必须在初始化 gin.Engine 后立即调用，且路径是相对于**启动时的当前工作目录**（不是代码文件所在目录）。常见错误是把模板放在 templates/ 下却没调用加载，结果返回 404 或空页面。
- 推荐用
router.LoadHTMLGlob("templates/**/*")，支持嵌套目录 - 确保模板文件名后缀是
.html（如reset_password.html），否则 Gin 不识别 - 如果用
go run main.go启动，当前目录就是main.go所在目录；若用 IDE 运行，请检查其工作目录设置
表单提交必须用 POST + CSRF 防护（哪怕开发阶段）
密码重置页面涉及敏感操作，即使本地调试也建议启用基础 CSRF 防护。Gin 本身不内置 CSRF，但可通过 gorilla/csrf 或手动签发 token 实现。跳过这步容易被工具扫出漏洞，上线后更难补救。
- 在模板中插入隐藏字段：
<input type="hidden" name="token" value="{{.CSRFToken}}"> - 服务端生成 token（例如用
uuid.NewString()存入 session），校验失败直接c.AbortWithStatus(403) - 不要依赖 Referer 或 User-Agent 做校验——它们可伪造
处理重置请求时要严格验证 token 和邮箱
真实场景中，重置链接带一次性 token（如 /reset?token=abc123），这个 token 必须绑定用户邮箱、有过期时间、且只能使用一次。Gin 路由里直接解析 query 参数不够安全。
- 用
c.Query("token")获取 token，但必须查数据库或缓存确认该 token 存在、未过期、未使用过 - 避免直接用
c.Param("email")做路由参数（如/reset/:email），邮箱含 @ 符号会导致路由匹配失败 - 重置成功后，立刻使原 token 失效（删 DB 记录或设已使用标志），并清空相关 session
密码更新前必须校验新密码强度和一致性
前端 JS 校验只是辅助，后端才是关键防线。Gin handler 里不能只检查 password == confirm_password，还要防空、防弱、防常见字典密码。
- 用正则强制至少 8 位、含大小写字母+数字：
^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)[a-zA-Z\d]{8,}$ - 调用
bcrypt.GenerateFromPassword([]byte(newPwd), 12)前先做这些校验，失败就返回400和具体错误信息 - 不要把明文密码打日志，也不要在错误响应里暴露“密码太短”这类细节（可用统一提示：“密码不符合要求”）
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
