Go 的 net/http 需手动实现表单字段限制：HTTP 层用 http.MaxBytesReader 或 io.LimitReader 控制请求体大小防 OOM，业务层用 validator 等库校验语义（如长度、格式），且前后端校验均不可省略。
Go 的 net/http 本身不提供表单字段限制，得自己做
Go 标准库的 http.Request 没有内置最大长度、类型校验或正则匹配机制。所有“限制”都得在读取 r.FormValue() 或 r.PostForm 后手动检查。别指望 ParseForm() 自动拦住超长内容——它默认会把整个请求体全读进内存，大字段可能直接 OOM。
用 Request.Body 限流 + io.LimitReader 防爆内存
对 POST 表单（application/x-www-form-urlencoded 或 multipart/form-data），必须在调用 r.ParseForm() 前控制 Body 大小，否则恶意长字段可耗尽服务内存。
- 对普通表单：用
http.MaxBytesReader包裹r.Body，例如只允许最多 1MB 请求体：maxBody := int64(1024 * 1024) r.Body = http.MaxBytesReader(w, r.Body, maxBody)
- 对文件上传混合表单：需先用
r.ParseMultipartForm()并设MaxMemory，再检查r.MultipartForm.Value中各字段长度 - 若跳过
ParseForm()直接读 Body，记得用io.LimitReader(r.Body, limit)配合url.ParseQuery()手动解析
validator 库能简化字段级验证，但不能替代传输层限制
像 go-playground/validator/v10 这类结构体校验库，适合在解析为 struct 后做语义检查（如邮箱格式、字符串长度、必填），但它完全不干预 HTTP 层的原始数据读取。字段仍会先被完整加载进内存，再交给 validator 判定。
- 定义 struct 时用 tag 标注规则：
type UserForm struct { Name string `validate:"required,min=2,max=20"` Email string `validate:"required,email"` } - 务必先调用
r.ParseForm()，再绑定到 struct，最后用validate.Struct()检查 - 注意：tag 中的
min/max是 rune 数而非字节数，中文字符不会被截断，但底层内存已分配完毕
前端限制只是体验优化，后端必须重校验
HTML 的 maxlength、pattern、required 全部可被绕过。curl、Postman、甚至浏览器开发者工具都能发任意数据。后端不能信任任何客户端传来的长度、格式或存在性声明。
立即学习“go语言免费学习笔记（深入）”；
- 即使前端写了
，后端仍要检查len(r.FormValue("name")) - 即使用了
type="email"，后端仍需用正则或mail.ParseAddress()验证邮箱格式 - 关键字段（如金额、ID）建议额外加白名单校验，例如只接受
^[a-zA-Z0-9_\-]{3,16}$而非简单判空
字段长度和类型限制这件事，本质是两层：HTTP 层控总量防 DoS，业务层控语义保逻辑。漏掉前者，服务容易崩；漏掉后者，数据一定脏。
