jwt认证在go中需严格把控签发、解析、校验、上下文注入四环节：须用结构体嵌入registeredclaims替代mapclaims；解析后必须显式检查token.valid；上下文取值应封装强类型函数；权限校验需结合路由分组与服务端角色写死。
Golang Samber Hot
下载
在 Golang 中使用 samber/hot 进行内存缓存，支持 LRU、LFU、TinyLFU、W‑TinyLFU、S3FIFO、ARC、TwoQueue、SIEVE、FIFO 等淘汰算法，提供 TTL、缓存加载器及分片功能。
jwt 认证在 Go 里不是“配个中间件就完事”，而是必须手动控制签发、解析、校验、上下文注入四个环节。用错 github.com/golang-jwt/jwt/v5 的版本或结构体定义，token 一发就解析失败；密钥硬编码或过期时间设成 time.Now().Add(0)，会导致 token 立刻失效或永远不过期。
生成 Token 时别用 MapClaims 做主力
MapClaims 看起来简单，但字段名大小写、类型不一致（比如 "exp" 写成 "Exp" 或传了 int 而非 int64）会导致解析时静默失败或 token.Valid == false。
更稳妥的做法是定义结构体并嵌入 jwt.RegisteredClaims：
type Claims struct {
UserID uint `json:"user_id"`
Username string `json:"username"`
Role string `json:"role"`
jwt.RegisteredClaims
}
这样能靠编译器检查字段名和类型，也能直接用 jwt.NewNumericDate() 设置 ExpiresAt，避免手动算 Unix 时间戳出错。
解析 Token 必须显式检查 token.Valid 和错误类型
jwt.ParseWithClaims 返回的 err 可能是：jwt.ErrSignatureInvalid（密钥不对）、jwt.ErrTokenExpired（过期）、jwt.ErrTokenNotValidYet（未生效），甚至 nil 但 token.Valid == false。
只判 err != nil 会漏掉后一种情况。正确写法是：
token, err := jwt.ParseWithClaims(tokenString, claims, keyFunc)
if err != nil {
return nil, err
}
if !token.Valid {
return nil, fmt.Errorf("token invalid")
}
尤其注意：如果用了 SigningMethodHS256 却传了 RSA 私钥，或密钥长度不够（HS256 要求至少 32 字节），err 会是 crypto/hmac: invalid key size，而不是 JWT 相关错误。
Gin 中间件里别把用户信息塞进 context.WithValue 就完事
context.WithValue(r.Context(), "user", claims) 看似可行，但后续 handler 里每次都要类型断言 claims, ok := c.MustGet("user").(*Claims)，一旦断言失败 panic。
更好的做法是封装一个强类型获取函数：
func GetUserFromCtx(c *gin.Context) (*Claims, bool) {
val, exists := c.Get("user")
if !exists {
return nil, false
}
claims, ok := val.(*Claims)
return claims, ok
}
然后在 handler 里统一调用：claims, ok := GetUserFromCtx(c); if !ok { c.AbortWithStatusJSON(401, "unauthorized") }。
否则，某处忘了断言或类型写错，上线后就是 500。
权限控制不能只靠中间件拦截，得配合路由分组和角色字段校验
中间件只负责“有没有 token”，不负责“能不能访问”。比如管理员接口/api/users/delete，不能只放中间件，还得在 handler 里检查：if claims.Role != "admin" { c.AbortWithStatus(403) }。
更清晰的做法是 Gin 路由分组 + 中间件组合：
authGroup := r.Group("/api")
authGroup.Use(AuthMiddleware())
{
adminGroup := authGroup.Group("/admin").Use(RoleMiddleware("admin"))
adminGroup.DELETE("/users/:id")
userGroup := authGroup.Group("/user").Use(RoleMiddleware("user"))
userGroup.GET("/profile")
}
其中 RoleMiddleware("admin") 就是提取 claims.Role 并比对，不匹配直接 403。
容易忽略的是：角色字段来自 token payload，而 payload 是客户端可控的——所以角色必须在服务端签发时写死（如查 DB 后赋值），绝不能由前端传入。
密钥管理、refresh token 机制、黑名单兜底这些属于进阶项，但上面四点——结构体定义、解析校验逻辑、上下文安全取值、角色与路由绑定——才是刚写 GenerateToken 和 AuthMiddleware 时最常卡住的地方。golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
