用 iris.Validate 做结构体绑定校验最稳妥，需定义导出字段+json tag+validate tag，调用 ReadJSON 后显式校验；路径/查询参数须手动取值转换并校验；自定义规则须在 app.Run 前注册到 iris.Validator。
用 iris.Validate 做结构体绑定校验最稳妥
Iris 默认不自动校验请求参数，必须显式调用校验逻辑。最常用、也最推荐的方式是定义结构体 + iris.Validate，它会基于 struct tag（如 json、validate）解析并校验 POST / PUT 的 JSON 请求体。
常见错误是直接用 c.PostValue 拿字段再手写 if 判断——既重复又漏边界（比如空字符串、类型转换失败）。结构体绑定能一次完成解析 + 类型转换 + 规则校验。
- 结构体字段必须导出（首字母大写），且带
jsontag，否则无法反序列化 -
validatetag 支持required、min=1、email、url等内置规则，也支持自定义函数 - 校验失败时，
iris.Validate默认返回 400 和错误详情，无需手动c.StatusCode
type CreateUserReq struct {
Name string `json:"name" validate:"required,min=2,max=20"`
Email string `json:"email" validate:"required,email"`
Age int `json:"age" validate:"required,gt=0,lt=150"`
}
func handleCreate(c iris.Context) {
var req CreateUserReq
if err := c.ReadJSON(&req); err != nil {
c.StopWithStatus(iris.StatusBadRequest)
return
}
if err := iris.Validate(&req); err != nil {
c.StopWithError(iris.StatusBadRequest, err)
return
}
// ✅ 此时 req 已确保合法
}
URL 路径参数和查询参数得用 c.Params().Get + 手动校验
Iris 不对 :id 路径参数或 ?page=2 查询参数做自动校验，Validate 也不适用——因为它们不是结构体字段。你得自己取值、转类型、判空、范围检查。
容易踩的坑是忽略类型转换失败：比如 c.Params().GetInt("id") 返回 (0, false)，但 0 可能是合法 ID（如数据库主键从 0 开始），仅靠返回值判断会误杀。
- 优先用
c.Params().GetInt64或c.URLParamInt，它们返回(int, error)，可明确区分「取不到」和「转失败」 - 路径参数建议在路由层就约束格式，比如
/user/{id:int}，Iris 会自动拒绝非数字路径（但不会检查范围） - 查询参数如
limit、offset必须校验上限，避免 SQL 注入或 OOM（如limit=999999999）
自定义校验函数要注册到 iris.Validator 才生效
内置规则不够用时（比如「密码必须含大小写字母+数字」），得写自定义函数。但 Iris 不会自动发现你的函数——必须提前注册到全局验证器，否则 validate:"my_password_rule" 直接 panic。
注册时机很关键：必须在 app.Run 之前，且不能在 handler 里反复注册（会覆盖）。
- 函数签名必须是
func(string) bool或func(interface{}) bool - 注册后，struct tag 中用函数名（不含括号）引用，如
validate:"my_password_rule" - 注意并发安全：注册一次即可，所有请求共享该函数
func isStrongPassword(s string) bool {
hasUpper, hasLower, hasDigit := false, false, false
for _, r := range s {
switch {
case r >= 'A' && r <= 'Z': hasUpper = true
case r >= 'a' && r <= 'z': hasLower = true
case r >= '0' && r <= '9': hasDigit = true
}
}
return hasUpper && hasLower && hasDigit && len(s) >= 8
}
func main() {
app := iris.New()
iris.Validator.Register("strong_password", isStrongPassword) // ⚠️ 必须在这儿注册
app.Post("/register", func(c iris.Context) {
type req struct {
Password string `json:"password" validate:"required,strong_password"`
}
// ...
})
}
别依赖中间件统一校验，结构体绑定本身已足够轻量
有人想写个中间件，自动读 JSON、反射取 struct、调用 Validate——没必要。Iris 的 ReadJSON + Validate 组合本身开销极低，且每个 handler 校验逻辑往往不同（比如创建用 A 结构体，更新用 B，部分字段可选），硬塞进中间件反而增加耦合和调试难度。
真正该抽离的是「错误响应格式」，而不是校验动作本身。比如统一返回 {"code":400,"message":"xxx"}，这用一个 helper 函数封装就行，不用动校验流程。
- 中间件适合处理跨域、日志、JWT 解析等通用逻辑，参数校验是业务强相关行为
- 如果真要用中间件，务必支持跳过某些路由（如公开接口），否则登录接口自己都过不去
- 结构体嵌套校验默认开启，但深层字段错误提示可能不友好（如
address.city: cannot be blank），需权衡是否重写错误渲染
Validate」这一条路径最稳；其他方式要么残缺（如只校路径参数），要么过重（如中间件泛化）。最容易被忽略的是：注册自定义规则的时机，以及路径/查询参数中类型转换失败与默认值的歧义。 
