Go FormValue 为什么同时读到了 URL 和表单参数

如果请求地址是 /search?term=url，POST 表单里又提交了 term=body，调用 r.FormValue("term") 得到的通常不是“两个值”，而是按规则挑出的一个值：对 application/x-www-form-urlencoded 的 POST、PUT、PATCH，请求体优先；查询参数其次；multipart/form-data 放在最后。这个行为正是参数“同时读到 URL 和表单”的原因。

需要区分来源时，不要把 FormValue 当成只读 URL 或只读 POST 的 API：只读请求体用 PostFormValue，只读查询串用 r.URL.Query()，需要保留重复值则显式调用 ParseForm 后检查 r.Form。

一个同名参数就能复现这个现象

下面的 handler 只用于观察来源。请求包含同名的 URL 查询参数和表单字段，FormValue、PostFormValue 与 URL.Query 分别展示不同读取口径。

func inspect(w http.ResponseWriter, r *http.Request) {
    // FormValue 会综合多个来源；这里故意使用同一个键观察优先级。
    all := r.FormValue("term")
    body := r.PostFormValue("term")
    query := r.URL.Query().Get("term")

    fmt.Fprintf(w, "form=%q body=%q query=%q", all, body, query)
}

例如发送 POST /search?term=url，body 为 term=body，且 Content-Type 是 application/x-www-form-urlencoded，结果中 form 和 body 都会是 body，query 才是 url。这里不是 URL 被覆盖，而是三个 API 的读取范围不同。

FormValue 的优先级不是“URL 优先”

官方文档给出的顺序可以记成：URL 编码的表单请求体（仅 POST、PUT、PATCH）→ URL 查询参数（所有请求）→ multipart 表单请求体（所有请求）。它调用解析方法的时机由请求方法和 Content-Type 决定，而且会忽略解析错误；找不到键时返回空字符串。

因此，若业务约定“URL 中的 tenant 只用于路由，body 中的 tenant 才是提交值”，直接使用 FormValue 会把约定藏起来。显式 API 能让代码读起来就带着安全边界。

按业务边界选择明确的读取方式

单值字段可以先解析，再验证是否为空；不要用“返回空字符串”来区分缺失与用户真的提交空值。如果字段可能重复，使用切片并自行决定是否拒绝重复。

func readTerm(r *http.Request) (string, error) {
    // 让解析错误可见，避免 FormValue 静默吞掉异常请求。
    if err := r.ParseForm(); err != nil {
        return "", fmt.Errorf("parse form: %w", err)
    }
    values, ok := r.Form["term"]
    if !ok || len(values) == 0 || values[0] == "" {
        return "", errors.New("term is required")
    }
    // 业务只允许一个值时，重复提交应显式拒绝而不是悄悄取第一个。
    if len(values) > 1 {
        return "", errors.New("term must appear once")
    }
    return values[0], nil
}

如果只允许链接携带筛选条件，就不要先调用 FormValue 再猜来源；使用 r.URL.Query().Get。如果只收 JSON，则应解码 JSON body，而不是把它当作表单读取。读取函数和输入协议保持一致，排错成本会低很多。

这几个边界最容易让判断失真

• 方法不同：GET 的请求体不会按普通 URL 编码表单加入同样的解析路径；不要把 POST 的结论套到所有方法。
• Content-Type 不同：JSON、纯文本或未声明类型的 body，不等于可用的 URL 编码表单。
• 多个值：FormValue 只返回第一个值；需要判断重复提交时要检查 r.Form 切片。
• 错误被忽略：FormValue 为方便调用而忽略解析错误，关键接口应显式 ParseForm 并记录可控的错误响应。

延伸问答

FormValue 和 PostFormValue 有什么区别？

FormValue 会综合 query 与表单来源；PostFormValue 只看 POST、PUT、PATCH 的请求体，URL 查询参数会被忽略。

怎么同时拿到 URL 和 body 的同名参数？

分别读取 r.URL.Query() 与 r.PostForm，不要依赖一个 FormValue 结果反推来源。

为什么 FormValue 取不到 JSON 字段？

FormValue 面向表单和查询参数，不负责 JSON 解码；JSON 请求应读取 body 后交给 json.Decoder。