多数情况下jwt.parse报“token is expired”并非真过期，而是服务端与签发环境存在秒级时钟偏差，导致时间验证失败；应统一使用utc时间、启用leeway容错、校准系统时钟并避免过短过期时间。
为什么 jwt.Parse 总是返回 token is expired 却没动过过期时间？
多数情况不是 token 真过期了，而是服务端时钟和签发环境（比如 Docker 容器、CI 机器）存在秒级偏差，jwt.Parse 默认启用严格时间验证（VerifyExpires 和 VerifyIssuedAt），且使用 time.Now() 做比对。若服务器时间慢 2 秒，刚签发的 token 就会被判“尚未生效”；快 2 秒，则可能被提前判“已过期”。
实操建议：
- 用
jwt.WithTimeFunc(func() time.Time { return time.Now().UTC() })统一强制走 UTC 时间，避免本地时区干扰 - 在解析时显式禁用时间校验（仅限开发/测试环境）：
jwt.Parse(tokenString, keyFunc, jwt.WithoutClaimsValidation()) - 生产环境务必校准系统时间，推荐用
systemd-timesyncd或chrony，不要依赖默认 NTP 配置 - 签发时用
exp和iat字段，但别设太短（如 30s），最小建议 5 分钟起，给网络延迟和时钟漂移留余量
怎么让 Gin 中间件正确提取并校验 Authorization: Bearer xxx 头？
Gin 默认不自动解析 Authorization 头，且常见错误是直接调 c.GetHeader("Authorization") 后硬切字符串，结果遇到空格、大小写混用或无前缀 token 就 panic。
实操建议：
- 用 Gin 内置方法：
authHeader := c.Request.Header.Get("Authorization")，再调strings.CutPrefix(authHeader, "Bearer ")—— 注意是CutPrefix不是strings.Split，避免多空格或 tab 导致切错 - 校验前先检查
len(tokenString) == 0，Gin 不会自动过滤空白 header - 把解析和校验逻辑单独抽成函数，返回
*jwt.Token和error，中间件里只做 “取头 → 校验 → 赋值c.Set("user_id", userID)”，别塞业务逻辑 - 别在中间件里调
c.AbortWithStatusJSON(401, ...)后还继续执行，记得跟return
jwt.SigningMethodHS256 和 jwt.SigningMethodRS256 在 API 授权中怎么选？
HS256 是对称算法，签发和校验用同一密钥；RS256 是非对称，用私钥签名、公钥校验。选错会导致 token 能签不能验，或反过来。
实操建议：
- 内部微服务间调用、无第三方集成场景，用
jwt.SigningMethodHS256更轻量，密钥存环境变量（如JWT_SECRET=change-me-in-prod），长度至少 32 字节 - 开放 API、需支持第三方应用接入，必须用
jwt.SigningMethodRS256：私钥只保留在认证服务，公钥以.pem形式暴露给其他服务，避免密钥泄露即全盘崩塌 - Gin 中间件校验时，
keyFunc返回值类型必须匹配：HS256 返回[]byte，RS256 返回*rsa.PublicKey，类型错会触发square/go-jose: error in cryptographic primitive - 别手动生成 PEM 公钥——用
openssl rsa -in private.key -pubout -out public.pem，别用在线工具或抄错换行符
为什么 ctx.Value() 传用户信息在 Gin 里容易丢数据？
很多人习惯在 JWT 中间件里写 c.Request = c.Request.WithContext(context.WithValue(c.Request.Context(), "user_id", id))，然后在 handler 里取 c.Request.Context().Value("user_id")，结果偶尔为 nil。
根本原因是 Gin 的 c.Request 在某些中间件（如日志、重定向、gzip）中会被替换，原 context 丢失。Gin 明确推荐用 c.Set() / c.MustGet()。
实操建议：
- 中间件中统一用
c.Set("user_id", uint64(123))和c.Set("user_role", "admin") - handler 中用
userID, ok := c.MustGet("user_id").(uint64)，别用ctx.Value - 如果要用 context 透传（比如对接 OpenTelemetry），必须确保所有中间件都基于原始
c.Request构建新 request，否则链路就断了 - 别把整个
*User结构体塞进c.Set，只放 ID 和关键字段，避免序列化开销和内存泄漏
signature is invalid。大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
