Go反射不能直接拼接HTML字符串，因易引发XSS和panic；必须用html/template安全渲染，反射仅提取字段元信息并传入模板。
Go 反射本身不生成 HTML，它只负责从结构体中“发现”字段名、类型和标签信息；真正渲染 HTML 必须交给 html/template，否则容易 XSS 或 panic。
为什么不能直接用 reflect 拼接 HTML 字符串
硬拼字符串（比如 fmt.Sprintf(`<input name="%s">`, field.Name)）会绕过模板自动转义，前端提交恶意内容时直接进 DOM 就可能触发 XSS。更隐蔽的问题是：未导出字段（小写开头）、nil 指针字段、嵌套结构体字段若没判空就调 .Interface()，运行时直接 panic。
- 必须用
v.Field(i).CanInterface()判是否可访问，跳过所有小写字段 - 对指针字段，先用
v.Field(i).Kind() == reflect.Ptr判断，再用v.Field(i).IsNil()避免.Elem()panic - HTML 渲染逻辑完全剥离到模板里，反射层只产出
[]FormField这类纯数据结构
如何从 struct tag 提取表单配置
结构体字段的 form 标签是关键入口，例如 Name string `form:"label=姓名;required;type=text"`。用 field.Tag.Get("form") 拿到原始字符串后，别手写解析——用 strings.Split + strings.TrimSpace 拆分键值对更稳妥。
- 优先支持
label、required、type三个基础键，其他忽略 - 若未提供
type，才 fallback 到类型映射逻辑（string→"text"、bool→"checkbox"） - 标签值为空（
`form:""`）或格式错误时，按默认规则处理，不中断整个遍历
怎么把字段类型映射成 HTML input type
别在模板里写一堆 {{if eq .Type "int"}}number{{end}}，把判断逻辑封装成模板函数，注册进 template.FuncMap。
立即学习“go语言免费学习笔记（深入）”；
- 函数签名必须是
func(reflect.Value) string，接收reflect.Value而非interface{} - 一律用
v.Kind()判断，避免对v.Interface()强转——比如time.Time转string会 panic - 常见映射：
reflect.String→"text"、reflect.Bool→"checkbox"、reflect.Int/Int64→"number"、reflect.Slice→"select"
为什么必须传指针给反射遍历函数
如果函数参数是 interface{}，传入结构体字面量（如 User{Name: "a"}）会导致反射拿到的是只读副本，无法后续修改字段值；而传指针（&User{...}）才能保证 reflect.ValueOf(x).Elem() 后得到可设置的 reflect.Value。
- 遍历字段只是读取，用值接收也行；但一旦涉及表单绑定（把请求值写回结构体），就必须指针
- 函数内部第一行加
if reflect.ValueOf(x).Kind() != reflect.Ptr报错提示，比静默失败更友好 - 注意
reflect.ValueOf(&x).Elem()和reflect.ValueOf(x).Elem()的区别：前者是取地址再解引用，后者是对非指针调用Elem()直接 panic
最易被忽略的一点：反射提取的字段名（field.Name）和表单提交的 key（name 属性）默认一致，但实际中常需用 form 标签覆盖——比如 CreatedAt time.Time `form:"created_at"`，此时若忘了在模板里用 {{.Name}} 而不是硬写 created_at，绑定就会失效。
