应先用c.getheader("authorization")获取头，再trim空格、按空格切分并校验长度≥2且首段为"bearer"(大小写不敏感)，最后清理控制字符；jwt解析须显式校验exp等字段，透传用户id需用c.get+类型断言而非mustget。
怎么从 Authorization Header 安全提取 Bearer Token
直接用 c.Request.Header.Get("Authorization") 取值是第一步，但不是终点。这个 header 值可能为空、带前后空格、大小写混乱（如 authorization）、甚至被代理注入了额外字符。
必须做三件事：
- 先检查是否为空：
if auth == "" { c.AbortWithStatusJSON(401, gin.H{"error": "missing authorization header"}) } - 用
strings.TrimSpace(auth)清理首尾空格，再strings.SplitN(auth, " ", 2)切分——只切一次，防止 token 本身含空格（实际不会，但写法更健壮） - 校验切分结果：
if len(parts) != 2 || !strings.EqualFold(parts[0], "Bearer")；注意用strings.EqualFold兼容大小写，但parts[1]才是真正要传给 JWT 库的 token 字符串
漏掉空格清理或硬写 parts[1] 而不判长度，会导致 panic 或解析 "Bearer" 这个字符串本身，报 square/go-jose: error in cryptographic primitive 这类误导性错误。
为什么 jwt.Parse 后必须显式检查 token.Valid
github.com/golang-jwt/jwt/v5 的 jwt.Parse 默认只做结构解析，不校验签名、过期、签发时间等。它可能返回一个非 nil 的 *jwt.Token，但 token.Valid == false —— 此时你已经“解析成功”，却没“验证通过”。
常见错误写法：if err != nil { ... } 就结束，忽略了 err == nil && !token.Valid 的情况。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
正确姿势是：
- 用
jwt.ParseWithClaims(tokenString, &MyClaims{}, keyFunc)，别用无 claims 的原始Parse - 解析后立刻加判断：
if err != nil || !token.Valid { c.AbortWithStatusJSON(401, gin.H{"error": "invalid or expired token"}) } - 如果需要区分过期和无效签名，可检查
err类型（如*jwt.ValidationError）并读err.(*jwt.ValidationError).Errors位掩码
校验时哪些参数容易配错导致线上失败
密钥、算法、时间戳精度这三项，本地跑得通，一上生产就 401，且难复现。
- HS256 密钥长度必须 ≥32 字节；若用短字符串（如
"mykey"），Go 的crypto/hmac会静默截断，导致本地和线上密钥不一致 - 时间戳必须是秒级
int64；如果前端传毫秒时间戳进exp，而服务端没除以 1000，VerifyExpiresAt永远失败 - 用
jwt.WithValidator(jwt.ExpectedTimeValidator(time.Now().UTC(), 5*time.Second))设置合理误差窗口，避免因服务器时钟偏差误判过期
别在中间件里手动比对 claims["exp"] —— 容易漏掉浮点转换、时区、类型断言，直接用库的 validator 更可靠。
解析成功后怎么安全透传用户身份
校验通过后，把用户 ID 存进 Gin context 是为了后续 handler 使用，但方式很关键。
- 用
c.Set("user_id", uint64(claims.UserID))，别存原始claimsmap 或指针，避免并发写冲突 - handler 中取值必须类型断言：
if uid, ok := c.Get("user_id").(uint64); ok { ... }，不能直接c.MustGet("user_id")—— 那是绕过中间件时的坑 - 别在中间件里查数据库加载用户完整信息；那是业务逻辑，应由 handler 按需调用，保持中间件轻量
最常被忽略的一点：token 校验和用户权限是两层事。中间件只管“你是谁”，不负责“你能干啥”；权限控制应放在路由分组或单独中间件里，用 c.Get("user_id") 拿到 ID 后再查角色/权限表。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
