iris 的 iris.mvc 不适合直接做身份认证，因为它仅是路由分组与控制器绑定的语法糖，不内置中间件链、会话或认证上下文；认证必须在控制器执行前通过 use 注册的中间件完成，如校验 token 或 session，并将用户存入 ctx.values() 供控制器安全使用。
为什么 Iris 的 iris.MVC 不适合直接做身份认证
因为 iris.MVC 本身只是路由分组 + 控制器自动绑定的语法糖，它不提供中间件链、用户会话或认证上下文的内置机制。你不能靠 app.MVC("/admin") 自动拦住未登录用户——它连请求是否带 token 都不知道。
真实认证必须落在 HTTP 生命周期更早的位置：在控制器执行前，用中间件检查 Authorization 头、session 或 cookie。MVC 只负责“谁来处理这个已放行的请求”。
- 常见错误：把
ctx.User()或自定义ctx.Values().Get("user")放在控制器里做校验，但没在中间件中提前设置或拒绝，导致未授权请求仍进入业务逻辑 - 正确路径：先注册全局/分组中间件（如
authMiddleware），再用app.MVC("/admin").Handle(new(AdminController)) -
iris.MVC的控制器方法签名不支持自动注入*jwt.Token或*models.User，需手动从ctx提取并校验
如何给 MVC 分组加认证中间件
必须显式调用 Use 或 UseGlobal，iris.MVC 不会自动继承父路由的中间件。
// 正确：为 /admin 下所有 MVC 控制器启用 auth 中间件
adminMVC := app.MVC("/admin")
adminMVC.Use(authMiddleware) // ⚠️ 必须写这行
adminMVC.Handle(new(AdminController))
// 错误：以下写法不会生效
// app.Use(authMiddleware)
// app.MVC("/admin").Handle(new(AdminController)) // 中间件未绑定到 MVC 分组
- 中间件里建议用
ctx.StopExecution()而非ctx.StatusCode(401)，避免控制器仍被执行 - 若需在控制器中复用用户数据，中间件里应调用
ctx.Values().Set("user", user)，而非依赖全局变量 - 注意
Use和UseRouter区别：UseRouter会在路由匹配后执行，Use是前置，认证必须用Use
控制器里怎么安全读取认证后的用户信息
不要在控制器里重复解析 token 或查数据库——那是中间件该干的事。控制器只应信任中间件已存入 ctx.Values() 的结果。
func (c *AdminController) GetUsers(ctx iris.Context) {
user, ok := ctx.Values().Get("user").(*models.User)
if !ok {
ctx.StatusCode(403)
ctx.WriteString("forbidden")
return
}
// 此时 user 已通过中间件校验，可直接用
users := service.FindByRole(user.Role)
ctx.JSON(users)
}
- 类型断言失败时务必检查
ok，否则 panic；Iris 不会帮你做运行时类型保护 - 避免在每个控制器方法里写重复的
if !ok { ... }，可封装成c.MustGetUser(ctx)辅助方法 - 不要在控制器里调用
ctx.Request().Header.Get("Authorization")——token 解析应在中间件统一完成，否则违反单一职责
JWT 和 Session 认证在 MVC 场景下的关键差异
两者都能用，但影响中间件实现和部署方式：
- JWT：中间件需解析
Authorization: Bearer <token></token>，验证签名+过期时间，无需查库；适合无状态服务，但无法主动失效 token - Session：中间件需调用
ctx.Session().GetString("user_id")，再查 DB 加载用户；依赖 session 存储（如 Redis），可随时销毁会话，但增加 IO 开销 - Iris 默认 session 基于 cookies，若前端是跨域 SPA，需确认
ctx.SetCookieKV的SameSite和Secure设置是否匹配前端请求头 - JWT 场景下，中间件解析失败应返回
ctx.StatusCode(401)；Session 场景下，查不到用户通常返回403（已认证但权限不足）或重定向登录页
真正麻烦的从来不是写一个 authMiddleware 函数，而是决定 token 到期策略、refresh 流程怎么跟 MVC 控制器协同，以及错误响应格式要不要统一包装——这些 Iris 不管，得你自己在中间件里收口。
