jwt校验失败必须显式中断流程：err != nil时立即调用c.abortwithstatusjson(401, {"error": "invalid token"})并停止执行next(c)，否则非法请求可能被放行或引发panic；parsewithclaims需传具体结构体类型，用户id应通过强类型私有key存取，鉴权中间件须按路径分组注册，避免误拦截/public等免鉴权接口。
JWT校验失败必须显式中断，不能忽略error
很多人写完jwt.Parse()后只取token变量、丢掉err，结果token签名失效或过期时程序继续往下走，token.Claims类型断言失败panic，或者更糟——非法请求被直接放行。正确做法是：一旦err != nil，立刻调用c.AbortWithStatusJSON(http.StatusUnauthorized, map[string]string{"error": "invalid token"})，且不再执行next(c)。
注意：github.com/golang-jwt/jwt/v5的ParseWithClaims()必须传入具体结构体类型（如&UserClaims{}），不能只传jwt.MapClaims，否则后续字段访问容易panic。
用户ID要强类型存取，别用字符串key硬编码
c.Set("user_id", 123)看着简单，但拼错key、类型不一致、IDE无法跳转，上线后debug成本极高。应该定义私有key类型：
- 声明
type userCtxKey string和常量const userIDKey userCtxKey = "user_id" - 存值用
c.Set(string(userIDKey), uint64(123)) - 取值封装成
func GetUserID(c echo.Context) (uint64, bool)，内部做类型断言和ok检查
避免用map[string]interface{}或interface{}存用户信息——加个新字段就得全局搜、改、测，松散结构扛不住迭代。
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
鉴权中间件不能挂顶层Group，得按路径分组注册
把middleware.JWT()直接挂在e.Use()或根Group("")上，会导致/public、/healthz这类免鉴权接口也被拦住，调试时看到401却找不到触发点。真实项目里必须按业务域切分：
-
api := e.Group("/api/v1")—— 这里挂JWT + 限流 -
public := e.Group("/public")—— 只挂CORS，不挂鉴权 -
admin := api.Group("/admin", adminOnly())—— 权限中间件只挂子路由，不影响普通接口
版本号必须体现在路径（如/v1），别依赖Accept头——网关、CDN、日志系统都难识别，审计时没法按版本统计风险。
中间件里别做阻塞操作，尤其别同步调外部服务
在鉴权中间件里直接HTTP调用OAuth2服务校验token、或同步查数据库验证session，会让每个请求多等几十毫秒，吞吐量断崖下跌。高频场景下应：
- JWT验签后缓存解析结果（比如用
sync.Map存token.Raw→UserClaims映射） - 若必须查DB，先查Redis缓存，缓存未命中再回源，且加超时控制
- 日志中间件禁用
fmt.Printf，改用zerolog等结构化异步日志库
真正卡点不在JWT解析本身，而在中间件里混进的同步I/O——这是压测时QPS突然掉一半最常见的原因。
