直接用 jwt.Parse 容易 panic 是因为默认仅校验签名结构，不验证 exp、nbf、aud、iss 等关键字段，且未传 keyFunc 时返回 ErrNoKeyFunc；解析后若 claims 类型断言错误或访问不存在 key，亦会 panic。
为什么直接用 jwt.Parse 容易 panic？
因为默认不校验签名、不检查过期时间，也不验证 aud、iss 等字段——只要 token 结构合法就返回 *jwt.Token，后续取 claims 时才可能 panic。实际生产必须配合 jwt.WithValidMethods 和自定义 Keyfunc。
- 务必传入非 nil 的
keyFunc，否则Parse直接返回ErrNoKeyFunc - 若用 HS256，
keyFunc应返回[]byte；若用 RS256，则返回*rsa.PublicKey - 在
keyFunc中不要硬编码密钥，建议从环境变量或配置中心加载 - 校验失败时，
err类型可能是*jwt.ValidationError，可做细粒度判断（如errors.Is(err, jwt.ErrTokenExpired)）
如何写一个不依赖框架的 Gin 中间件？
Gin 的中间件本质是 func(*gin.Context)，JWT 校验逻辑要覆盖：提取 header 中的 Bearer token → 解析 → 验证 → 写入 context。关键点是错误响应不能用 c.Abort() 就完事，得统一返回 JSON 错误体。
- 从
c.Request.Header.Get("Authorization")提取 token，正则匹配^Bearer\s+(.+)$更安全，避免空格截断 - 解析后立即调用
token.Valid，它会触发所有注册的验证逻辑（签名、过期、白名单等） - 校验通过后，用
c.Set("user_id", claims["user_id"])透传字段，下游 handler 用c.GetInt64("user_id")取值 - 错误响应统一用
c.JSON(401, gin.H{"error": "invalid or expired token"})，避免暴露内部细节
claims 类型断言怎么写才不出 panic？
token.Claims 是 jwt.Claims 接口，实际类型是 jwt.MapClaims（map[string]interface{}），但直接类型断言 claims := token.Claims.(jwt.MapClaims) 在 token 用自定义 struct claims 时会 panic。必须先确认类型。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 推荐方式：
if claims, ok := token.Claims.(jwt.MapClaims); !ok { return errors.New("invalid claims type") } - 若你用了自定义 struct（如
type MyClaims struct { UserID uint `json:"user_id"` }），需在ParseWithClaims中显式传入指针：var claims MyClaims; token, err := jwt.ParseWithClaims(tokenStr, &claims, keyFunc) - 访问字段前务必检查 key 是否存在：
if uid, ok := claims["user_id"]; ok { ... }，否则 map 取值为零值且无提示
为什么 token 没过期却被拒绝？常见被忽略的校验项
除了 exp，JWT 规范还定义了多个时间/上下文字段，漏掉任一都会导致校验失败。Gin 中间件里默认只校验 exp 和签名，其他全靠手动加逻辑。
-
nbf（Not Before）：token 在此时间前不可用，需在Validate方法中显式调用token.Claims.VerifyNotBefore(time.Now().UTC(), true) -
iat（Issued At）：虽不强制校验，但可用于判断 token 是否“太新”（防重放），建议记录并比对请求时间 -
aud（Audience）：服务端必须明确声明自己接受哪些aud值，claims.VerifyAudience("my-api", true)才生效 - 时钟偏移（
Leeway）：服务器与签发方时间不一致时，设jwt.WithLeeway(60 * time.Second)避免误判过期
JWT 鉴权不是“解析成功就完事”，真正麻烦的是那些没报错但静默失败的情况——比如 aud 不匹配、nbf 被忽略、时钟偏差未补偿。这些点在本地测试几乎不暴露，上线后才突然 401。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
