gin的group是创建带前缀的子路由器而非字符串拼接工具；中间件必须显式挂载，路径前缀本身不提供权限控制能力，权限校验须依赖中间件并调用c.abort()阻断流程。
权限校验中间件必须注册在正确路由层级
很多人在 GoLand 里调试时发现登录成功但 /api/users 返回 401，不是 JWT 密钥错了，而是中间件没套对位置。Gin 没有“全局中间件”概念，router.Use() 和 group.Use() 效果完全不同。
常见错误：
- 只在
v1 := router.Group("/api/v1")下调用v1.Use(jwtauth.Middleware())，漏掉未分组的接口（比如/health或直接/api/users） - 把日志中间件包在鉴权外层，导致未授权请求也记了完整 access log
- 中间件注册顺序颠倒：比如先
cors再jwt没问题，但若recovery放最外层，panic 可能绕过鉴权直接暴露
实操建议：所有管理接口统一走 /api/** 路由前缀，并在该 Group 上注册 jwtauth.Middleware()；开放接口（如 /login、/public/**）单独分组且不加鉴权。
RBAC 权限映射必须预热加载进内存
别在每次 HTTP 请求里查数据库判断 GET /api/users 是否允许角色 editor 访问——这会瞬间拖垮 QPS。GoLand 调试时看到 CPU 飙高、响应变慢，八成是这里出了问题。
正确做法是启动时一次性加载规则到 map[string]map[string][]string：
- key 是标准化后的
"GET:/api/users"（动态路由如/users/:id需转为/users/{id}） - value 是允许的角色切片，如
[]string{"admin", "editor"} - 用
sync.RWMutex包裹，写少读多场景下开销可忽略
注意：规则变更后不能 reload 进程，需配合配置中心或手动触发重载函数，否则内存里还是旧数据。
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
GORM 关联查询必须显式 Preload，禁用结构体嵌套
GoLand 的 Debugger 显示 User 对象里 Role 字段为空，或者 JSON 序列化 panic，大概率是没处理 N+1 或无限递归。
典型陷阱：
- 定义
User结构体时写了Role Role `gorm:"foreignKey:RoleID"`，然后直接db.Find(&users)—— GORM 不会自动加载关联，后续访问user.Role.Name触发 N 次 SQL -
User和Role互相嵌套指针，JSON 序列化时栈溢出 - 用
gorm:"embedded"或json:"-"忘了删，导致字段被忽略或冲突
实操建议：查用户列表带角色名，写成 db.Preload("Role").Find(&users)；结构体里用 *Role 指针 + 显式 json:"role,omitempty" tag，绝不嵌套完整 struct。
JWT 的 exp 必须是秒级 int64，且中间件要严格校验头格式
GoLand 断点停在 jwt.Parse 报错但没打日志，或者 c.MustGet("user") panic，往往卡在 token 解析阶段。
三个高频硬伤：
-
exp字段传了毫秒时间戳（time.Now().Add(time.Hour).UnixMilli()），而jwt.MapClaims期望秒级int64 -
Authorization头写成Token xxx或Bearerxxx（少空格），gin-jwt默认只认Bearer xxx - 中间件没做
c.Abort()，校验失败后仍继续执行下游 handler，导致空user对象参与业务逻辑
建议在中间件里加一行日志：log.Printf("auth header: %s", c.GetHeader("Authorization"))，比盲猜快十倍。
db.Preload、router.Group 和 sync.RWMutex。
