因为c.abort()仅中断中间件链而不写响应，需配合c.json()或c.abortwithstatusjson()显式返回状态码与错误信息，否则客户端收空响应、日志误显200 ok，且可能因漏调abort导致未鉴权请求继续执行。
为什么 Gin 的 AuthFilter 不能直接用 c.Abort() 后就返回？
因为 c.Abort() 只是中断中间件链，不自动写响应体。如果只调用它而不显式调用 c.JSON() 或 c.Status()，客户端会收到空响应或连接超时，日志里可能只显示 200 OK（实际是 net/http 默认状态），排查时极易误判为“鉴权通过”。
正确做法必须在 c.Abort() 前或后立即写响应：
- 先
c.JSON(401, gin.H{"error": "missing token"})，再c.Abort() - 或用
c.AbortWithStatusJSON(401, gin.H{...})—— 这个函数内部已封装了状态码 + JSON +Abort()，更安全 - 避免在
if err != nil分支里漏掉c.Abort()，否则控制流会意外进入c.Next()，导致未鉴权请求继续执行业务逻辑
jwt.Parse 验证失败时，err 和 !token.Valid 要分开判断
JWT 库（如 github.com/golang-jwt/jwt/v5）的 Parse 返回两个关键信息：err 表示解析失败（比如格式错误、签名算法不支持），而 token.Valid 是解析成功但校验失败（比如过期、签名校验不通过）。两者含义不同，错误提示也应区分：
-
err != nil && errors.Is(err, jwt.ErrTokenMalformed)→ 返回400 Bad Request，提示“invalid token format” -
err == nil && !token.Valid→ 返回401 Unauthorized，提示“token expired or invalid signature” - 忽略
token.Valid直接用err != nil判断，会导致过期 token 被当成解析错误，掩盖真实问题
如何让 AuthFilter 支持多签发源（如 Auth Server + 内部服务 Token）？
硬编码一个 []byte("secret-key") 无法适配微服务中常见的多签发方场景（例如：前端登录用 Auth Server 签发的 RS256 JWT，内部服务间调用用本地 HS256 Token）。需动态选择验证方式：
- 检查
token.Header["kid"]或claims.Issuer字段，决定走公钥还是共享密钥验证 - 用
jwt.ParseWithClaims(tokenString, claims, keyFunc)，其中keyFunc返回对应密钥（可从 Redis 或本地 map 查） - 不要把所有密钥都加载进内存；对公钥，建议缓存
*rsa.PublicKey实例，避免每次解析都 PEM 解码 - 若用
gin-contrib/jwt，它默认不支持多 issuer，需自己实现jwt.Keyfunc，而非依赖其Middleware默认配置
过滤器里读取 Authorization 头时，为什么有时拿不到值？
常见原因不是代码写错，而是部署环境干扰：
- Nginx 或 API 网关（如 Kong、Istio）默认不透传
Authorization头，需显式配置proxy_set_header Authorization $http_authorization; - Kubernetes Ingress 中，某些 controller（如 nginx-ingress v1.0+）默认 strip 掉该头，需加 annotation：
nginx.ingress.kubernetes.io/configuration-snippet: proxy_set_header Authorization $http_authorization; - Gin 本身对 header 名大小写不敏感，但若前端发的是
authorization小写，c.GetHeader("Authorization")仍能取到；真正要警惕的是代理层重写了 header 名 - 调试时可用
fmt.Printf("headers: %+v", c.Request.Header)打印全量 header，确认值是否在抵达 Gin 前就被吞了
最易被忽略的一点：AuthFilter 注册顺序必须在路由匹配之后、业务 handler 之前。如果误用 r.Use(AuthFilter).GET(...)，它会成为全局过滤器，连 /health 或 Swagger 静态资源都被拦住——这类问题线上只会暴露为“健康检查失败”，而不是报错日志。
