https://tro3373.github.io/tags/gin/ Recent content in gin on tac lifelog https://tro3373.github.io/favicon.png https://tro3373.github.io/favicon.png Hugo -- gohugo.io ja Mon, 05 Oct 2026 13:35:10 +0900 https://tro3373.github.io/posts/2026/2026-10-05-gin-binding-validation-pitfalls/ Mon, 05 Oct 2026 13:35:10 +0900 https://tro3373.github.io/posts/2026/2026-10-05-gin-binding-validation-pitfalls/ 結論 gin が実行時に読む検証タグは binding だけ。validate タグはコンパイルも lint も通り、検証は一度も走らない 検証は ShouldBind* の中でだけ、デコード直後の値に掛かる。c.JSON はレスポンスを検証せず、ハンドラで trim した後の値も検証しない required は「ゼロ値でない」の検査で、型によって意味が変わる。値型は "" / 0 / false を弾き、ポインタとスライスは nil だけを弾く (&"" と [] は通る) タグは左から評価され、最初に落ちたタグ 1 つだけが返る。required,min=1 の int に 0 を送ると、返るのは min でなく required required は値の形式を見ない。URL なら net/url で分解して、scheme と host を許可リストと完全一致で比べる 以下は Go 1.26.4 / gin v1.12.0 / go-playground/validator v10.30.1 で実測した。 前提: gin は go-playground/validator をタグ名 binding で呼ぶ gin の ShouldBindJSON / ShouldBindQuery は、デコードした struct を go-playground/validator に渡す。 validator 本体の既定タグ名は validate だが、gin は初期化時にタグ名を binding へ差し替えている。