推荐使用 go-playground/validator 通过结构体标签统一校验请求参数，避免手写 if 判断；需封装错误格式化函数返回字段级友好提示；query 和 body 应分结构体处理，支持自定义规则且须保证可测试、无业务耦合。
用 net/http 做基础校验时，别直接 parse query/body 后手写 if 判断
Go 标准库不提供内置参数校验机制，很多人一上来就 r.ParseForm() 或 json.NewDecoder(r.Body).Decode()，再挨个检查字段是否为空、长度是否超限、数字是否越界——这样代码散落、重复多、易漏判，且无法统一错误格式。
推荐做法是：把校验逻辑收拢到结构体 + 标签中，用成熟库驱动校验流程。最轻量且可控的是 go-playground/validator，它支持 struct tag（如 validate:"required,min=1,max=50"），也兼容自定义函数和跨字段约束。
- 安装：
go get github.com/go-playground/validator/v10 - 定义结构体时带上
validatetag，比如：type CreateUserRequest struct { Name string `json:"name" validate:"required,min=2,max=20"` Age int `json:"age" validate:"required,gt=0,lt=150"` Email string `json:"email" validate:"required,email"` } - 在 handler 中统一校验：
err := validate.Struct(req)，非 nil 即失败，可直接返回400 Bad Request和结构化错误信息
校验失败后怎么返回清晰的错误提示？别只 return 一个 “invalid request”
用户提交表单出错时，前端需要知道“哪个字段错了、为什么错”，而不是笼统的 400。validator 默认返回的 ValidationErrors 是个接口切片，需手动转成 map 或 slice 才好序列化。
常见处理方式是遍历错误并提取字段名和标签名（如 required、min），映射为更友好的提示：
立即学习“go语言免费学习笔记（深入）”；
- 用
err.(validator.ValidationErrors)类型断言获取原始错误 - 对每个
FieldError调用.Field()得字段名，.Tag()得校验规则名，.ActualTag()可得完整 tag 字符串 - 建议封装一个
formatValidationError(err error) map[string]string函数，例如："name": "姓名长度必须在 2 到 20 个字符之间"
注意：不要在错误消息里暴露内部字段名（如 UserName），而要用 JSON tag（name）或自定义别名，否则前后端约定容易断裂。
URL query 参数和 JSON body 都要校验？别混用同一结构体无差别处理
query 和 body 的语义不同：query 天然适合简单过滤（如 ?page=1&limit=20），body 承载复杂数据（如创建资源）。虽然都能用同一个 struct，但校验粒度和规则常有差异。
- query 结构体建议加
formtag，并用decoder := schema.NewDecoder(); decoder.Decode(&q, r.URL.Query())解析（需引入go-playground/form） - body 解析仍走
json.Decode，但校验前应先检查Content-Type: application/json，避免非 JSON 请求 panic - 两者校验规则可复用，但 query 字段通常允许
omitempty，而 body 字段常要求required；例如分页参数page在 query 中可缺省，在 body 中则无意义
自定义校验规则怎么写？比如手机号、身份证号、密码强度
validator 支持注册自定义函数，用 validate.RegisterValidation 注册后，就能在 tag 里像内置规则一样使用，比如 validate:"required,phone"。
关键点在于：函数签名必须是 func(fl validator.FieldLevel) bool，其中 fl.Field().Interface() 拿到当前字段值：
- 手机号示例（简单 11 位数字）：
validate.RegisterValidation("phone", func(fl validator.FieldLevel) bool { s, ok := fl.Field().Interface().(string) if !ok || len(s) != 11 { return false } for _, r := range s { if r < '0' || r > '9' { return false } } return true }) - 注册时机放在
init()或服务启动早期，确保全局唯一 - 注意性能：正则校验比纯字符串遍历慢，高频接口（如登录）建议预编译
regexp.MustCompile
真正难的不是写规则，而是让规则可测试、可复用、不耦合业务逻辑——比如密码强度校验，应只判断格式，而非查数据库或调用风控服务。
