正确导入和安装echo-jwt/v4必须带/v4后缀，即go get github.com/labstack/echo-jwt/v4且import"github.com/labstack/echo-jwt/v4"；signingkey需为[]byte类型，tokenlookup默认仅支持header:authorization， errorhandler需自定义以统一返回401。
echo-jwt/v4 导入和安装必须带 /v4 后缀
直接 go get github.com/labstack/echo-jwt 会拉到错误分支，编译时找不到 echojwt.WithConfig 或报 cannot find package。正确命令是：
go get github.com/labstack/echo-jwt/v4- 代码中 import 必须写成
github.com/labstack/echo-jwt/v4，少一个/v4就无法解析 - 如果你还在用
github.com/labstack/echo/middleware.JWT，那是 v4 旧版残留写法，v5 已物理删除该包，强行保留会导致 panic
SigningKey 类型和 KeyFunc 的坑要提前踩
SigningKey 字段声明为 interface{}，但实际只接受 []byte 或返回 interface{} 的 KeyFunc 函数。直接传字符串会编译失败；传 string("xxx") 也不行，必须显式转 []byte("xxx")。
- 静态密钥最简写法：
SigningKey: []byte("your-secret-key") - 动态密钥（如按用户查密钥）必须用
KeyFunc，且里面要校验token.Header["alg"]，否则攻击者可构造alg:none绕过签名 -
exp字段必须是秒级int64，不是毫秒——前端 JS 的Date.now()要除以 1000 再转整数，否则 token 一签发就过期
TokenLookup 不配对就等于没开认证
默认只从 header:Authorization 提取 token，如果前端用 query:token 或 cookie:jwt 传，中间件根本不会读，直接放行或报 400（取决于有没有 Authorization 头）。
Echo框架 5.1.0
下载
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
- 前端传 URL 参数：
TokenLookup: "query:token" - 前端存 cookie：
TokenLookup: "cookie:jwt" - 多个位置同时支持？不支持原生多源，得自己写 wrapper 中间件合并提取逻辑
- 调试时可用
docker run -e JWT_HEADER=Authorization -p 8080:8080 mendhak/http-https-echo快速验证 header 是否被正确送达
400 和 401 混乱是因为没接管 ErrorHandler
默认行为下：没 Authorization 头 → 400；token 格式错（少一段、含空格）→ 400；仅签名错或过期 → 401。这会让前端统一处理异常变得困难。
- 强制所有鉴权失败走 401：在
ErrorHandler里忽略具体 err，直接return c.JSON(401, map[string]string{"error": "unauthorized"}) - 想区分过期和无效，就得解析
err类型：errors.Is(err, jwt.ErrTokenExpired)或正则匹配"token is expired" - 别在 ErrorHandler 里做重定向或写日志——它只负责响应，日志应由独立中间件记录
真正容易被忽略的是时间校验的宽容度：服务端和客户端时钟差几秒，exp/nbf 就可能误判。上线前必须加 jwt.WithValidTimeFunc 容忍 ±5 秒偏差，否则压测或跨时区调用会频繁失败。
