Go 的 ParseForm 必须显式调用才能解析表单，否则 FormValue 返回空；常见错误包括未设正确 Content-Type、先读 Body 后解析、multipart 表单误用 ParseForm；校验应提前返回，文件上传需用 ParseMultipartForm 并设 maxMemory。
Go 的 ParseForm 为什么总返回空值？
多数人第一次用 http.Request 读表单时，r.FormValue("name") 返回空字符串，不是代码写错了，而是漏掉了关键一步：必须先调用 r.ParseForm()（或 r.ParseMultipartForm()）才能解析请求体。Go 不会自动解析，这是显式设计，避免不必要的内存开销。
常见错误场景：
- POST 请求发了但没设
Content-Type: application/x-www-form-urlencoded（比如用curl -d默认带这个，但前端 fetch 若没配headers就可能发成text/plain） - 调用了
r.Body读取流后，再调ParseForm—— 此时 body 已被读空，解析失败 - 对 multipart 表单（含文件上传）误用
ParseForm，应改用ParseMultipartForm
func handler(w http.ResponseWriter, r *http.Request) {
if r.Method == "POST" {
// ✅ 必须放在读取 FormValue 之前
if err := r.ParseForm(); err != nil {
http.Error(w, "parse form error", http.StatusBadRequest)
return
}
name := r.FormValue("name") // 现在能取到了
fmt.Fprintf(w, "Hello, %s", name)
}
}
如何安全地校验表单字段（非第三方库）
Go 标准库不提供内置验证器，但可以用组合判断 + 提前返回来控制逻辑流。重点不是“全量校验完再报错”，而是“发现一个错就停，避免无效处理”。
典型校验项与注意点：
立即学习“go语言免费学习笔记（深入）”；
-
TrimSpace(r.FormValue("email")) == ""—— 空格不算有效输入 -
邮箱格式建议用
net/mail.ParseAddress或正则^[^\s@]+@[^\s@]+\.[^\s@]+$，别用复杂 RFC 兼容正则 - 数字字段用
strconv.Atoi或strconv.ParseInt，检查err != nil，别直接int(r.FormValue("age")) - 勾选框（checkbox）未选时不提交，
r.FormValue("agree")为空字符串，不是"off"或"false"
email := strings.TrimSpace(r.FormValue("email"))
if email == "" {
http.Error(w, "email is required", http.StatusBadRequest)
return
}
if _, err := mail.ParseAddress(email); err != nil {
http.Error(w, "invalid email format", http.StatusBadRequest)
return
}
处理文件上传表单的 multipart/form-data 注意事项
一旦表单含 ，就必须用 r.ParseMultipartForm，且需指定最大内存阈值（maxMemory），否则大文件会直接 OOM。
关键细节：
r.ParseMultipartForm(32 表示最多 32MB 在内存中缓存，超出会写入临时磁盘文件-
r.MultipartForm.File是map[string][]*multipart.FileHeader，同名多文件要遍历[] -
FileHeader.Open()返回io.ReadCloser，务必defer f.Close() - 不要用
r.FormValue读取同表单中的普通字段——ParseMultipartForm后它们也在r.MultipartForm.Value里
if err := r.ParseMultipartForm(32 << 20); err != nil {
http.Error(w, "cannot parse form", http.StatusBadRequest)
return
}
files := r.MultipartForm.File["avatar"]
if len(files) > 0 {
file, _ := files[0].Open()
defer file.Close()
// 处理上传流...
}
为什么 r.PostForm 和 r.Form 有时不一致？
r.Form 包含 URL 查询参数（GET）和请求体（POST/PUT）合并后的全部键值；r.PostForm 只包含请求体中的键值（且仅适用于 application/x-www-form-urlencoded）。两者在 GET 请求中都为空；在 POST 中，若你只想要纯 body 数据，用 r.PostForm 更明确。
容易踩的坑：
- 用
r.Form取值时，如果 URL 带?id=123，而表单也提交了id=456，r.FormValue("id")返回的是"123"（查询参数优先），不是你期望的表单值 -
r.PostForm在未调用ParseForm前是 nil，不能直接遍历 - 对 JSON 请求体（
Content-Type: application/json），这两个字段都为空，必须用json.Decoder手动解码
真正需要确定来源时，拆开处理更稳妥：先 r.ParseForm()，再分别查 r.URL.Query() 和 r.PostForm。
