echo-jwt/v4解析后应先校验token.valid且token.claims非nil，再通过claims, ok := token.claims.(jwt.mapclaims)安全断言，避免panic；若用自定义claims结构体则需对应类型断言，不可硬转jwt.mapclaims。
echo-jwt/v4 解析后如何安全取 token.Claims
解析完成的 *jwt.Token 已由 echo-jwt/v4 放入 c.Get("user")，但直接类型断言成 jwt.MapClaims 有 panic 风险——因为 token.Claims 可能是 nil，或未成功解析（比如签名错但时间校验被跳过）。
- 必须先检查
token.Valid == true，且token.Claims != nil - 推荐用
claims, ok := token.Claims.(jwt.MapClaims)+ok判断，而非强制断言 - 若签发时用了自定义 Claims 结构体（如
type CustomClaims struct { jwt.StandardClaims; Role string }），需对应断言为该类型，不能硬转jwt.MapClaims - 别在中间件里重复调
jwt.ParseWithClaims——echo-jwt已做完，再 parse 会浪费 CPU 且可能因 KeyFunc 逻辑不一致导致结果差异
为什么 c.Get("user") 取不到 claims 或 panic
常见原因是中间件顺序或配置错位，导致 c.Get("user") 为空或不是 *jwt.Token 类型。
-
echo-jwt中间件没注册，或被Skipper跳过（比如路径匹配失败、条件返回 true） - 全局中间件和路由级中间件混用：若在
e.GET("/api/user", h, authMw)里又写了一遍 JWT 解析，会覆盖c.Get("user")，且authMw里再取就可能是旧值或 nil -
ContextKey被改过：默认是"user"，但如果你在JWTConfig.ContextKey = "jwt_user"，就得用c.Get("jwt_user") - Token 本身无效但没被拦截：比如
exp是毫秒时间戳（应为秒）、alg: none未拒绝、或KeyFunc返回了 nil key —— 这些都会让token.Valid == false，但echo-jwt默认仍塞进 context（只是不 call next）
从 token 提取 jti、sub、exp 等字段的正确姿势
不要手动解 Base64 或 JSON Unmarshal 原始字符串；直接从已解析的 jwt.MapClaims 读，但要注意字段存在性和类型安全。
-
jti：通常为 string，用claims["jti"].(string)前务必检查claims.VerifyAudience和ok，避免 panic -
exp：是int64秒级时间戳，别用float64接收；可用time.Unix(claims["exp"].(int64), 0)转为time.Time -
sub或user_id：按签发时写的字段名取，例如claims["sub"]或claims["user_id"]，注意大小写和拼写 - 如果字段可能不存在（比如可选 claim），统一用
v, ok := claims["field"]判断，而不是直接强转
ParseWithClaims 必须显式校验时间与算法
echo-jwt/v4 底层调的是 jwt.ParseWithClaims，而它的默认行为极度宽松：不校验 exp、接受 alg: none、对时间戳单位无感知。这会导致 token “看似有效” 实则已过期或可伪造。
- 在
JWTConfig.KeyFunc中，必须检查token.Header["alg"] != "none"，否则攻击者可构造无签名 token 绕过验证 - 必须启用时间校验：要么传
jwt.WithValidTimeFunc(func(t time.Time) bool { return t.Before(time.Now().Add(5 * time.Minute)) })，要么确保claims.VerifyExpiresAt被调用（echo-jwt默认会，但前提是token.Valid为 true） -
exp字段必须是int64秒级时间戳；若前端传毫秒（如 JS 的Date.now()），服务端解析时会认为“已过期”，刚签发就 401 - 别依赖
token.Claims.(jwt.MapClaims)["exp"]的原始值做判断——它可能不是 int64，或根本没被验证过；应以token.Valid和claims.VerifyExpiresAt(time.Now().Unix(), true)为准
实际解析逻辑最稳的写法，是在自定义中间件中这样取：
token, ok := c.Get("user").(*jwt.Token)
if !ok || !token.Valid {
return echo.NewHTTPError(http.StatusUnauthorized, "invalid token")
}
claims, ok := token.Claims.(jwt.MapClaims)
if !ok {
return echo.NewHTTPError(http.StatusUnauthorized, "invalid claims type")
}
if jti, ok := claims["jti"].(string); ok {
// 查 Redis 黑名单
}
jti 字段是否存、exp 是否秒级、KeyFunc 是否拒 none——这些细节一旦漏掉，解析出来的 token 就只是个“看起来像 JWT”的字符串。
