ShouldBind不能直接校验请求体完整性，因其默认仅校验字段级规则（如binding:"required"），不检查body是否为空、是否为合法JSON或含多余字段；空body或Content-Type错误时可能静默成功或panic，需手动预检body并重置。
为什么 Gin 的 ShouldBind 不能直接校验请求体完整性
因为 ShouldBind 默认只校验字段级规则（如 binding:"required"），不检查整个请求体是否为空、是否为合法 JSON、是否含多余字段。当客户端发来空 body、Content-Type 错误或纯空格字符串时，它可能静默成功或 panic，而不是返回明确错误。
常见现象：POST 请求没传 body，但 c.ShouldBind(&req) 返回 nil，req 字段全零值，业务逻辑误以为数据有效。
- 必须显式检查
c.Request.Body是否可读且非空（注意：读一次就耗尽，后续绑定会失败） -
Content-Type必须是application/json或其他预期类型，否则ShouldBindJSON会跳过解析 - 若用
ShouldBind（无后缀），Gin 会按Content-Type自动选解析器，但不校验 MIME 类型合法性
如何在中间件中统一拦截空/非法请求体
最稳妥的方式是在绑定前强制读取并验证原始 body，再重置给后续 handler 使用。Gin 的 c.Request.Body 是 io.ReadCloser，需用 io.TeeReader 或缓存机制避免消耗。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 用
io.ReadAll(c.Request.Body)一次性读取，判断长度是否为 0 或内容是否全空白（strings.TrimSpace） - 读完后用
http.MaxBytesReader包裹原始 body 防止超大 payload，再通过bytes.NewReader重建c.Request.Body - 若校验失败，立即调用
c.AbortWithStatusJSON(400, map[string]string{"error": "empty request body"})并 return - 不要在中间件里调用
c.ShouldBind，留给后续 handler 处理，否则 body 已被读过会报invalid memory address
示例片段：
body, err := io.ReadAll(c.Request.Body)
if err != nil || len(strings.TrimSpace(string(body))) == 0 {
c.AbortWithStatusJSON(400, gin.H{"error": "request body is empty or invalid"})
return
}
c.Request.Body = io.NopCloser(bytes.NewBuffer(body)) // 恢复 body
结构体 tag 中 required 和 omitempty 的实际影响
required 只对非零值字段生效：数字为 0、字符串为空、布尔为 false 时，binding:"required" 仍会报错；但若字段本身未出现在 JSON 中，且结构体字段有默认零值，则不会触发 required 校验——这是常见误解点。
- 想确保字段“必须提供”，得配合
json:",omitempty"+binding:"required"，否则 JSON 里省略该字段时，Go 结构体仍会填零值，ShouldBind不报错 -
omitempty影响的是序列化输出，不影响绑定输入；绑定时 JSON 缺失字段 → Go 字段设为零值 → 若该字段带required，则校验失败 - 嵌套结构体字段的
required不会递归校验子字段，需在子结构体上单独加 tag
例如：type Req struct { Name string `json:"name" binding:"required"` }，若请求 JSON 为 {}，Name 被设为 ""，required 触发报错；若为 {"name":""}，同样报错；只有 {"name":"a"} 才通过。
如何拒绝未知字段并防止字段注入
Gin 默认使用 json.Unmarshal，它会忽略 JSON 中结构体没有定义的字段，这看似安全，实则掩盖了客户端传错字段名的问题，也导致无法发现字段拼写错误或恶意新增字段。
- 启用严格模式：用
json.NewDecoder替代默认解码，并设置DisallowUnknownFields() - 在中间件或 handler 中手动解码：
decoder := json.NewDecoder(c.Request.Body); decoder.DisallowUnknownFields(); err := decoder.Decode(&req) - 注意：一旦启用，JSON 中多出任意字段（哪怕只是打错一个字母）都会返回
json: unknown field错误 - 此方式与
ShouldBindJSON不兼容，必须放弃 Gin 绑定，自己控制解码流程
这个点容易被忽略：多数人只关注“字段有没有”，不关心“字段是不是多出来的”。线上环境建议开启，尤其当 API 对字段名敏感（如用于数据库列映射）时。
