buffalo框架默认不内置jwt支持，需手动集成：用github.com/golang-jwt/jwt/v5解析authorization头中的token，验证签名与过期，将user_id存入c.set()供后续使用，避免与session中间件冲突。
Buffalo 框架默认不内置 JWT 支持
Buffalo 是 Go 语言的 Web 框架，定位偏向“全栈 Rails 风格”，但它的中间件生态和认证体系是轻量、可插拔的——buffalo-auth 插件只提供基于 session 的传统登录，不生成、不校验、不解析 JWT。如果你在 app.go 里看到 Use(auth.Middleware)，那只是 cookie-session 认证链，和 JWT 完全无关。
手动集成 JWT 需要绕过 auth.Middleware
直接复用 buffalo-auth 的中间件会冲突：它默认从 session 读用户，而 JWT 应该从 Authorization: Bearer <token></token> 头里提取并验证。正确做法是写一个独立中间件，放在 app.Use() 链中，且必须在 auth.Middleware 之前（否则 session 中间件会提前终止请求）：
- 用
github.com/golang-jwt/jwt/v5解析 token，注意指定SigningMethodHS256和密钥 - 验证失败时直接
c.Error(401, err)，不要调用c.Next() - 验证成功后把
*jwt.Token或解析出的user_id存进c.Set("user_id", uid)，供后续 handler 使用 - 避免在中间件里写 session 相关逻辑（如
c.Session().Set()），否则和 JWT 的无状态原则矛盾
JWT payload 设计影响路由权限控制
Buffalo 的 App.Resource 或自定义 handler 无法自动识别 JWT 字段，你得手动取值判断。比如想限制只有 role == "admin" 才能访问 /api/users：
Buffalo框架 1.0.1 版本源码包下载，适合需要错误处理改进、依赖更新、render.Download 注释和 request logger 调整的 v1 项目。
func AdminOnly(next buffalo.Handler) buffalo.Handler {
return func(c buffalo.Context) error {
uid := c.Param("user_id")
if uid == "" {
return c.Error(403, errors.New("missing user_id in context"))
}
// 这里需额外查 DB 获取 role，或更优：把 role 放进 JWT payload（但别放敏感字段）
role, err := getUserRole(uid)
if err != nil || role != "admin" {
return c.Error(403, errors.New("forbidden"))
}
return next(c)
}
}
注意：getUserRole 是必要开销——JWT 只适合存短生命周期、低敏感度的声明（如 user_id, exp, scope），别把完整权限树塞进 token。
前端传参和 Buffalo 路由匹配容易错位
常见错误是前端用 fetch("/api/me", { headers: { Authorization: "Bearer xxx" } })，但 Buffalo 路由没配 OPTIONS 处理，导致预检失败；或者用了 GET /api/me?token=xxx 这种方式，既不安全又绕过中间件校验逻辑。
- CORS 配置必须显式允许
Authorization头：app.Use(cors.Default())不够，得用cors.New(cors.Options{...})并设置AllowedHeaders: []string{"Authorization", "Content-Type"} - 所有 JWT 保护的接口必须走标准
Authorizationheader，不要 fallback 到 query 或 body - Buffalo 的
c.Param()只读 path 参数，c.Request().Header.Get("Authorization")才是取 token 的正确方式
JWT 的核心是“信任签发方 + 校验签名 + 拒绝过期”，Buffalo 不替你做这三件事——它只提供 HTTP 请求流转管道，剩下的全是你要填的坑：密钥管理、token 刷新、黑名单撤销都得自己搭。
