在Go语言后端开发中，接收并解析客户端发来的JSON格式HTTP请求是一项基础且频繁的操作。标准库已经提供了足够的能力来完成这件事，但在实际编码时，不少细节会影响接口的健壮性和安全性。
一、基础路由与请求接收
使用net/http包可以很方便地注册一个处理JSON请求的路由。我们通常通过http.HandleFunc来绑定路径与处理函数，并在函数内部判断请求方法是否为POST或PUT，因为这两类方法常用来提交数据。
在拿到*http.Request对象后，不要急于读取Body，而是先确认请求头中的Content-Type是否包含application/json。虽然Go不会强制校验，但显式检查能过滤掉明显错误的请求，减少后续解析压力。下面是一段最基础的路由代码：
package main
import (
"fmt"
"net/http"
)
func main() {
http.HandleFunc("/api/submit", submitHandler)
fmt.Println("server start at :8080")
http.ListenAndServe(":8080", nil)
}
func submitHandler(w http.ResponseWriter, r *http.Request) {
if r.Method != http.MethodPost {
http.Error(w, "only POST allowed", http.StatusMethodNotAllowed)
return
}
if r.Header.Get("Content-Type") != "application/json" {
http.Error(w, "need application/json", http.StatusUnsupportedMediaType)
return
}
// 后续解析逻辑
}
二、使用json.Decoder解析请求体
Go推荐的做法是用json.NewDecoder包装r.Body，然后调用Decode方法将JSON直接映射到结构体。这种方式属于流式解析，不需要先把整个Body读成字节切片，对于大请求更省内存。同时Decoder会在解析时校验JSON语法，遇到错误会立即返回。
定义接收结构体时，必须使用反引号标注json标签，标签里的名字要和前端字段一致，否则解析后对应字段会是零值。下面的例子展示了用户提交数据的解析过程：
type UserReq struct {
Name string `json:"name"`
Age int `json:"age"`
}
func submitHandler(w http.ResponseWriter, r *http.Request) {
if r.Method != http.MethodPost {
http.Error(w, "only POST allowed", http.StatusMethodNotAllowed)
return
}
if r.Header.Get("Content-Type") != "application/json" {
http.Error(w, "need application/json", http.StatusUnsupportedMediaType)
return
}
var req UserReq
if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
http.Error(w, "invalid json: "+err.Error(), http.StatusBadRequest)
return
}
fmt.Fprintf(w, "received name=%s age=%d", req.Name, req.Age)
}
上面的代码把错误直接返回给客户端。在生产环境中，你可以封装一个统一的结构化错误响应，例如返回{"code":400,"msg":"参数错误"}，这样前端更容易处理。
三、限制请求体大小与防御滥用
如果客户端发送超大JSON，直接Decode可能导致内存占用过高。可以通过http.MaxBytesReader包裹r.Body，限制最多读取的字节数。超过限制后，Decoder会返回错误，我们就能以413状态拒绝请求。
这种限制在开放接口中尤其重要，能有效减缓恶意客户端通过巨量数据发起的资源耗尽攻击。示例如下：
func submitHandler(w http.ResponseWriter, r *http.Request) {
if r.Method != http.MethodPost {
http.Error(w, "only POST allowed", http.StatusMethodNotAllowed)
return
}
r.Body = http.MaxBytesReader(w, r.Body, 1<<20) // 最多1MB
var req UserReq
if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
http.Error(w, "bad request", http.StatusBadRequest)
return
}
fmt.Fprintf(w, "ok name=%s", req.Name)
}
需要注意，MaxBytesReader返回的Body在超限时读取会报错，但不会影响已写入的响应头，因此务必在Decode出错时返回对应状态码，而不是继续执行后续业务逻辑。
四、常见错误与改进建议
一个容易被忽视的问题是复用json.Decoder实例。Decoder内部维护了缓冲状态，如果两次请求共用同一个Decoder且不重置，会导致第二次解析读到上一次的残留数据。所以应当每次请求都新建Decoder，而不是作为全局变量。
另一个误区是前端传了多余字段，后端结构体没有对应项，默认情况下Go会忽略这些字段，不会报错。如果业务要求严格校验，可以使用Decoder.DisallowUnknownFields()方法，这样遇到未知字段就直接返回错误，保证接口契约清晰。
func submitHandler(w http.ResponseWriter, r *http.Request) {
r.Body = http.MaxBytesReader(w, r.Body, 1<<20)
var req UserReq
dec := json.NewDecoder(r.Body)
dec.DisallowUnknownFields()
if err := dec.Decode(&req); err != nil {
http.Error(w, "strict json check failed", http.StatusBadRequest)
return
}
fmt.Fprintf(w, "strict ok: %s", req.Name)
}
通过上述方式，我们可以在Golang中稳定、安全地处理JSON格式的HTTP请求，既兼顾了性能，也降低了接口出错的概率。