go jwt中间件需注意：jwt.parse的keyfunc若返回nil,nil会导致静默失败；须校验算法并正确返回密钥类型；authorization头解析要用cutprefix防绕过；context传值须用未导出key类型并做类型断言；keyfunc应recover panic并明确报错。
Go 的 JWT 中间件不难写，但容易在签名验证、上下文传递和错误处理上出错——尤其是 jwt.Parse 返回的 jwt.ValidationError 类型需要显式断言，否则 401 会静默失败。
为什么 jwt.Parse 常返回 nil 但没报错？
因为 jwt.Parse 第二个参数是函数，必须返回非 nil 的 *jwt.Token 或明确的 error；如果函数里只写了 return nil, nil（比如漏了 err 变量），解析就“成功”返回 nil Token，后续调用 token.Valid panic。
- 务必在
Keyfunc中校验token.Method.Alg()是否匹配你期望的算法（如"HS256"） - 若用
HS256，Keyfunc必须返回[]byte；若用RS256，得返回*rsa.PublicKey - 常见错误：把私钥当公钥传进
Keyfunc，导致签名验证永远失败
如何安全地从请求提取并验证 token？
JWT 通常放在 Authorization: Bearer <token></token> 头里，但不能直接 strings.Split 后硬取第二段——要防空格、大小写、多余空格。用标准库 http.Request.Header.Get + strings.CutPrefix 更可靠。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 先检查头是否存在：
auth := r.Header.Get("Authorization") - 再切前缀：
tokenStr, ok := strings.CutPrefix(auth, "Bearer ")，ok为false就说明格式不对 - 别用
strings.Fields或正则——它们可能被恶意构造的头绕过 - Token 字符串建议加长度限制（如
len(tokenStr) ），防 DoS
怎么把用户 ID 塞进 context.Context 并透传？
中间件里解析完 token 后，得把关键字段（比如 user_id）存进 r.Context()，下游 handler 才能取。但别用 context.WithValue 存裸字符串或整数——要用自定义 key 类型防冲突。
type contextKey string const userCtxKey contextKey = "user_id" // 中间件里： r = r.WithContext(context.WithValue(r.Context(), userCtxKey, userID)) // handler 里： userID := r.Context().Value(userCtxKey).(int64)
- key 类型必须是未导出的（如
contextKey），否则不同包可能误用同一 key 覆盖值 - 取值时类型断言要加判断，避免 panic：
if userID, ok := r.Context().Value(userCtxKey).(int64); ok { ... } - 别把整个
*jwt.Token塞进去——它包含原始 payload，可能含敏感字段，且结构不稳定
为什么 handler 里 ctx.Err() 总是 nil？
因为中间件里没做超时或取消传播。JWT 验证本身很快，但如果你后续要查 DB 或调第三方服务，就得靠 context 控制生命周期。中间件本身不负责 cancel，但要确保下游拿到的是带 deadline 的 context。
- 在中间件最后调用
next.ServeHTTP(w, r)前，可加：ctx, cancel := context.WithTimeout(r.Context(), 5*time.Second) - 然后
r = r.WithContext(ctx)，再传给next - 记得
defer cancel()，否则 goroutine 泄漏 - 注意：不要在中间件里
select等待 token 解析——它本就是 CPU 密集型同步操作，加 channel 反而拖慢
最常被忽略的是 Keyfunc 的错误返回路径：一旦 Keyfunc panic 或返回 nil, nil，jwt.Parse 就不会校验签名，直接认为 token 无效却不告诉你原因。建议所有 Keyfunc 都包一层 recover 并统一返回 fmt.Errorf("invalid key: %w", err)。
