Iris框架中表单验证必须使用Validate中间件，它基于struct tag校验且需显式挂载；仅支持基础规则如required、email、min/max等，不支持正则、自定义函数、嵌套结构或跨字段约束，复杂场景须手动校验。
表单验证必须用 Validate 中间件，不是靠前端 JS 拦截
Iris 框架默认不自动校验请求体，Validate 是唯一内置的结构化验证入口。它基于 Go 的 struct tag（如 validate:"required,email"）工作，和 Gin 的 binding 类似但更严格：没加 Validate 中间件时，即使 struct tag 写了规则也完全不生效。
常见错误是只在 handler 里做 ctx.ReadJSON(&v) 然后手动 if 判空——这既重复又漏掉类型、格式、长度等深层校验。
- 必须在路由注册时显式挂载：
app.Post("/login", iris.Validate(), loginHandler) - struct 字段 tag 中的
validate值区分大小写，required有效，Required无效 - 不支持嵌套 struct 的递归验证（如
User.Profile.Email），需拆成独立 struct 并单独调用Validate
Validate 支持的校验规则远少于 validator.v10，别硬套第三方写法
Iris 自带的 Validate 只实现基础规则：`required`、`email`、`url`、`min`/`max`（数字或字符串长度）、`len`、`alpha`、`alphanum`。它不支持 `gt`、`lt`、正则 `regex`、自定义函数等高级能力。
例如想限制密码必须含数字和特殊字符，validate:"required,regex=^(?=.*[0-9])(?=.*[!@#]).+$" 会静默失败，因为 regex 不在 Iris 白名单里。
- 字符串长度用
min:"8" max:"20"，不是minlen或length - 数值范围校验只认
min/max，gte或between会被忽略 - 邮箱校验仅检查基本格式（
@和域名结构），不验证 DNS 或 SMTP 连通性
错误响应格式固定为 JSON，且无法自定义字段名
验证失败时，Iris 默认返回 400 Bad Request + JSON：{"message":"validation failed","error":"field 'email' is required"}。这个结构不能改，message 和 error 键名写死，连空格都不能动。
如果前端要求字段名用 email_address 而不是 email，或者需要返回多语言提示，只能放弃 Validate 中间件，改用手动校验 + 自定义错误构造。
- 错误信息中的字段名直接取自 struct 字段名（
json:"email"不影响提示里的名字） - 没有
Translate机制，无法对接 i18n 包 - 所有错误合并为单条字符串，不返回字段级明细数组（比如不告诉你哪几个字段错了）
复杂逻辑必须绕开 Validate，用 ctx.ReadJSON + 手动判断
涉及跨字段约束（如“密码和确认密码必须一致”）、条件必填（如“当 type=premium 时，license_key 必须提供”）、或外部依赖校验（如“用户名不能已存在”）时，Validate 完全无能为力。
这时要先调用 ctx.ReadJSON(&req) 解析，再写 if 逻辑，最后用 ctx.StatusCode(400).JSON() 返回自定义错误。注意：此时必须自己处理所有解析异常（如 JSON 格式错误、类型不匹配），Validate 原本帮你兜底的部分全得重写。
- 不要在同一个 handler 里混用
Validate和手动校验——前者失败会提前中断请求，后者根本不会执行 - 数据库查重类操作务必放在手动校验阶段，别试图塞进 struct tag
- 若需复用校验逻辑，封装成独立函数，而非依赖中间件链
Validate 只适合最粗粒度的输入把关；只要业务规则超过两层 if，就得切到手动模式。这点和 Express + express-validator 或 FastAPI 的 Pydantic 相比，抽象程度低很多，容易低估编码量。 
