关于URL地址访问Action后，Struts1的ActionForm的validate方法被绕过问题

最近公司在做 Web Security Scan，结果描出来SQL Injection的问题。
是通过在URL地址栏加了一些非法参数。
我们的系统还是用的struts1.
我在ActionForm的validate方法里面已经做了过滤了。
但我实验时发现，如果不是通过form表单提交action.
而是直接在URL地址栏上输入action加参数的话，是直接进入Action类了
没有走ActionForm的validate方法。请问这是为什么啊？
谢谢

通过表单提交Action和直接用URL地址栏里访问Action，对于strtsu框架来说有什么区别

不好意思。是走form的，我们框架的问题，不好意思。