必须先调用 ParseMultipartForm 或设置 MaxMemory；否则 ParseForm 无法解析 multipart 表单，r.Form 为空或漏字段，r.MultipartForm 为 nil。
用 ParseForm 读取表单数据前必须调用 ParseMultipartForm 或设置 MaxMemory
Go 的 http.Request 默认不会自动解析 multipart 表单（含文件上传），即使只是普通文本字段。如果只调用 r.ParseForm() 而没处理 multipart，r.Form 会为空或漏掉字段。
常见错误现象：r.FormValue("username") 返回空字符串，但浏览器开发者工具确认已发送；r.MultipartForm 为 nil。
- 纯 URL-encoded 表单（
application/x-www-form-urlencoded）：直接调用r.ParseForm()即可 - 含文件或混合类型（
multipart/form-data）：必须先调用r.ParseMultipartForm(32 （如限制 32MB 内存缓存），或提前设置 <code>r.MaxMemory = 32 再调用 <code>r.ParseForm() - 不设
MaxMemory直接调用ParseMultipartForm会导致默认仅 32KB 内存缓冲，大文件上传时触发临时磁盘写入，但小表单也可能因未显式调用而跳过解析
FormValue 和 PostFormValue 的行为差异与使用场景
r.FormValue("name") 会同时检查 URL 查询参数和 POST body（包括 form-data 和 urlencoded），而 r.PostFormValue("name") 只查 POST body。多数 Web 表单提交是 POST，应优先用 PostFormValue 避免意外覆盖。
- 若表单是 GET 提交（如搜索框），用
FormValue更自然 - 若后端逻辑依赖“仅 POST 字段”，用
PostFormValue可防止攻击者通过 URL 参数伪造值 - 两者都对缺失键返回空字符串，不报错；需用
if r.PostFormValue("email") == ""判断空值，而非== nil
手动校验比依赖第三方库更可控，但要注意 Unicode 和空格边界
Go 标准库不提供开箱即用的结构体校验（如 GoPlayground/validator），手工校验反而更轻量、无反射开销，且能精确控制错误提示位置。
立即学习“go语言免费学习笔记（深入）”；
- 邮箱格式别只用简单正则：
strings.Contains(r.PostFormValue("email"), "@")不够，推荐用net/mail.ParseAddress或regexp.MustCompile(`^.+@.+\..+$`)做基础过滤 - 用户名去首尾空格：
strings.TrimSpace(r.PostFormValue("username"))，否则用户输空格可能绕过长度校验 - 密码长度校验前先确认非空：
pwd := r.PostFormValue("password"); if len(pwd) ，避免 <code>len("")导致误判 - 中文字符长度用
utf8.RuneCountInString，不是len()（后者返回字节数）
返回错误时用 http.Error 还是自定义 JSON？取决于前端是否 AJAX
传统 HTML 表单提交失败后需要重定向回原页并显示错误，而 AJAX 提交则期望 JSON 响应。混用会导致前端无法解析或页面白屏。
- HTML 表单 + 同步提交：用
http.Redirect回原地址，错误信息存在 session 或 URL query 中（如?error=username_required） - AJAX 表单：设置
w.Header().Set("Content-Type", "application/json")，然后json.NewEncoder(w).Encode(map[string]string{"error": "email invalid"}) - 不要在同一个 handler 里既写 HTML 又写 JSON —— 容易遗漏
Content-Type或提前写 header 导致http: multiple response.WriteHeader calls
func loginHandler(w http.ResponseWriter, r *http.Request) {
if r.Method != "POST" {
http.Error(w, "Method not allowed", http.StatusMethodNotAllowed)
return
}
// 必须先解析，尤其含 enctype="multipart/form-data" 时
if err := r.ParseMultipartForm(32 << 20); err != nil && err != http.ErrNotMultipart {
http.Error(w, "Invalid form", http.StatusBadRequest)
return
}
email := strings.TrimSpace(r.PostFormValue("email"))
if email == "" {
http.Error(w, "Email is required", http.StatusBadRequest)
return
}
// 简单邮箱格式检查（生产环境建议用 mail.ParseAddress）
if !strings.Contains(email, "@") || !strings.Contains(email, ".") {
http.Error(w, "Invalid email format", http.StatusBadRequest)
return
}
// ……后续处理
}
实际部署时最容易被忽略的是：表单 enctype 属性和后端解析方式必须严格匹配。前端写 enctype="multipart/form-data"，后端却只调 ParseForm()，字段就消失了——这种问题不会报 panic，只会静默丢数据。 
