restful路由设计需严格遵循资源语义与http方法对应关系，注重参数校验、状态码语义、路径注册顺序、结构体绑定及id类型安全转换，否则易引发幂等性破坏、sql注入、零值覆盖、错误静默等线上问题。
直接用 r.GET、r.POST 等方法注册 RESTful 路由没问题，但真要上线，光写对动词和路径远远不够——漏掉参数校验、状态码语义、路径顺序或结构体绑定方式，API 很快就会在联调或压测时暴露问题。
RESTful 路由动词和路径必须严格对应资源操作语义
GET /users 是查列表，POST /users 是新建，GET /users/:id 是查单个，PUT /users/:id 是全量更新，PATCH /users/:id 是局部更新，DELETE /users/:id 是删除。这些不是命名习惯，而是客户端（尤其是前端框架如 Axios、React Query）依赖的状态码与行为契约。
- 别把
PUT /users/:id写成POST /users/:id/update：破坏幂等性，前端重试会重复提交 -
PATCH和PUT不能混用：PUT 要求客户端传完整资源，PATCH 只传变更字段；结构体字段得用指针（如*string）+omitempty，否则零值会覆盖 DB 原值 - 静态路径必须放在动态路径之前：比如
/users/me和/users/:id，如果:id先注册，/me就永远匹配不到
路径参数 c.Param("id") 返回字符串，不转换就传 DB 很危险
c.Param("id") 拿到的是原始字符串，不是整数。直接丢给 db.QueryRow("SELECT * FROM users WHERE id = ?", id)，要么查不到，要么 panic（比如 strconv.Atoi("abc") 崩溃），更糟的是拼 SQL 字符串时可能引发注入（虽然 Gin 不鼓励手拼 SQL，但有人真这么干）。
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- 数字 ID：用
strconv.ParseUint(c.Param("id"), 10, 64)，检查 error，失败返回http.StatusBadRequest - UUID：用
uuid.Parse(c.Param("id"))，别用正则粗筛[a-f0-9\-]{36}，它不校验版本和格式 - 带正则约束的路由更稳：
r.GET("/users/:id/[0-9]+", handler)或r.GET("/users/:id/[a-f0-9]{8}-[a-f0-9]{4}-[a-f0-9]{4}-[a-f0-9]{4}-[a-f0-9]{12}", handler)
c.ShouldBindJSON() 必须配强类型结构体，禁用 map[string]interface{}
用 map[string]interface{} 接参看着灵活，实际等于主动放弃字段校验、IDE 补全、Swagger 自动生成，还埋下零值覆盖隐患——前端传 {"name": ""}，后端结构体字段没设指针或 omitempty，DB 原值就被清空。
- 结构体字段首字母必须大写，且带
json:"name"标签，否则解码为空 - 必填字段加
binding:"required"，邮箱加binding:"email"，c.ShouldBindJSON()会自动返回http.StatusUnprocessableEntity(422) - 禁止在 handler 里手动调
json.Unmarshal()：绕过 Gin 错误拦截，400 请求不进日志、不触发统一错误中间件
HTTP 状态码不能只靠 200 和 500
前端 fetch 的 .catch() 只捕获网络错误和 4xx/5xx，全用 200 + {"code": 404}，错误就静默了，重试、缓存、路由跳转全部失效。
- 资源不存在：用
http.StatusNotFound(404)，不是 200 + null - 创建成功：用
http.StatusCreated(201)，并设Locationheader：c.Header("Location", "/users/"+id) - 业务校验失败（手机号格式错、密码太短）：优先用
http.StatusUnprocessableEntity(422)，比 400 更语义化 - 数据库连接失败：返回
http.StatusServiceUnavailable(503)，500 只留给未捕获 panic
最常被忽略的其实是路径注册顺序和参数转换——它们不报错，但会让 API 在特定请求下行为异常，而且很难复现。线上环境一旦出问题，往往不是逻辑错，而是这些基础配置松动了。
