3、输入验证基线：输入验证原则、白名单与黑名单策略、Go中常见输入验证实现

3.1 输入验证核心原则

输入验证是业务模块边界的第一道防线。所有来自用户、外部服务、消息队列、文件导入等不可信源的数据，在进入业务逻辑处理前必须经过严格的合法性校验。核心原则包括：

• 信任边界原则：将系统内部视为可信域，外部输入视为不可信域，在边界处执行验证。
• 尽早拒绝原则：在数据进入业务逻辑的最早阶段进行验证，避免无效数据污染系统状态。
• 纵深防御原则：输入验证不能替代输出编码、权限控制等其他安全措施，应多层叠加。
• 集中验证原则：将验证逻辑集中管理，避免分散在各业务代码中导致遗漏或不一致。
• 失败安全原则：验证失败时默认拒绝访问，返回通用错误信息，不泄露内部细节。

3.2 白名单与黑名单策略

白名单策略的实施层级：

1. 数据类型白名单：只接受预期的数据类型（string、int、bool 等）。
2. 数据长度白名单：定义最小和最大长度范围。
3. 数据格式白名单：使用正则表达式或格式校验器匹配合法模式。
4. 数据值白名单：对于枚举型字段，只接受预定义集合中的值。
5. 数据范围白名单：对于数值型字段，限定合法取值范围。

3.3 Go 中常见输入验证实现

3.3.1 基础类型验证

// 字符串长度白名单验证
func ValidateUsername(name string) error {
    const minLen = 3
    const maxLen = 32
    if len(name) < minLen || len(name) > maxLen {
        return fmt.Errorf("用户名长度必须在 %d 到 %d 之间", minLen, maxLen)
    }
    return nil
}

// 数值范围白名单验证
func ValidateAge(age int) error {
    if age < 0 || age > 150 {
        return fmt.Errorf("年龄必须在 0 到 150 之间")
    }
    return nil
}

// 枚举值白名单验证
var ValidRoles = map[string]bool{
    "admin":   true,
    "editor":  true,
    "viewer":  true,
}

func ValidateRole(role string) error {
    if !ValidRoles[role] {
        return fmt.Errorf("无效角色: %s，允许值: admin, editor, viewer", role)
    }
    return nil
}

3.3.2 正则表达式格式验证

import "regexp"

// 邮箱格式白名单验证
var emailRegex = regexp.MustCompile(`^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$`)

func ValidateEmail(email string) error {
    if !emailRegex.MatchString(email) {
        return fmt.Errorf("邮箱格式无效")
    }
    return nil
}

// 手机号格式白名单验证（中国大陆）
var phoneRegex = regexp.MustCompile(`^1[3-9]\d{9}$`)

func ValidatePhone(phone string) error {
    if !phoneRegex.MatchString(phone) {
        return fmt.Errorf("手机号格式无效")
    }
    return nil
}

3.3.3 使用第三方验证库

Go 生态中 go-playground/validator 是最广泛使用的结构体验证库，支持通过标签声明式定义验证规则：

import "github.com/go-playground/validator/v10"

type CreateUserRequest struct {
    Username string `json:"username" validate:"required,min=3,max=32,alphanum"`
    Email    string `json:"email"    validate:"required,email"`
    Age      int    `json:"age"      validate:"gte=0,lte=150"`
    Role     string `json:"role"     validate:"required,oneof=admin editor viewer"`
    Phone    string `json:"phone"    validate:"omitempty,len=11,numeric"`
}

var validate = validator.New()

func ValidateCreateUser(req *CreateUserRequest) error {
    if err := validate.Struct(req); err != nil {
        // 收集所有验证失败信息
        var errs []string
        for _, err := range err.(validator.ValidationErrors) {
            errs = append(errs, fmt.Sprintf(
                "字段 '%s' 验证失败: 规则 '%s'",
                err.Field(),
                err.Tag(),
            ))
        }
        return fmt.Errorf("输入验证失败: %s", strings.Join(errs, "; "))
    }
    return nil
}

3.3.4 自定义验证器

import "github.com/go-playground/validator/v10"

// 注册自定义验证器：检查字符串是否不包含敏感词
func registerCustomValidators(v *validator.Validate) {
    v.RegisterValidation("nosensitive", func(fl validator.FieldLevel) bool {
        value := fl.Field().String()
        sensitiveWords := []string{"admin", "root", "system"}
        for _, word := range sensitiveWords {
            if strings.Contains(strings.ToLower(value), word) {
                return false
            }
        }
        return true
    })
}

type CommentRequest struct {
    Content string `json:"content" validate:"required,min=1,max=500,nosensitive"`
}

3.3.5 HTTP 请求输入验证中间件

import (
    "encoding/json"
    "net/http"
)

// 通用输入验证中间件
func InputValidationMiddleware(next http.Handler) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // 1. 验证 Content-Type
        if r.Header.Get("Content-Type") != "application/json" {
            http.Error(w, `{"error":"仅支持 application/json"}`, http.StatusUnsupportedMediaType)
            return
        }

        // 2. 验证请求体大小（白名单：最大 1MB）
        r.Body = http.MaxBytesReader(w, r.Body, 1<<20)

        // 3. 验证请求方法（白名单）
        allowedMethods := map[string]bool{"GET": true, "POST": true, "PUT": true, "DELETE": true}
        if !allowedMethods[r.Method] {
            http.Error(w, `{"error":"不支持的 HTTP 方法"}`, http.StatusMethodNotAllowed)
            return
        }

        next.ServeHTTP(w, r)
    })
}

3.4 输入验证审计检查清单

3.5 常见输入验证陷阱与规避