fiber v3 无内置安全组件，认证、授权、csrf、csp、xss 过滤等需社区中间件或应用层实现；helmet 和 csrf 由社区维护但非官方核心包，须显式安装并正确配置存储与顺序。
fiber 没有内置安全组件，别找 fiber/security 包
Fiber v3 官方仓库和文档中**不存在**名为 security 的子模块或官方中间件包。它的设计哲学是“小而专”：路由、中间件、响应处理高度优化，但**认证、授权、CSRF、CSP、XSS 过滤等安全能力全部交由社区或应用层自行集成**。试图运行 go get github.com/gofiber/fiber/v3/security 会失败——这个路径根本不存在。
常用防护中间件怎么装？直接 go get 第三方包
实际项目中，你得按需选用成熟、维护活跃的第三方中间件。安装方式统一为：
-
go get github.com/gofiber/fiber/v3/middleware/cors（跨域） -
go get github.com/gofiber/fiber/v3/middleware/csrf（CSRF token） -
go get github.com/gofiber/fiber/v3/middleware/limiter（请求限流） -
go get github.com/gofiber/fiber/v3/middleware/helmet（安全响应头，如X-Content-Type-Options）
注意：helmet 和 csrf 是最常被误认为“官方安全组件”的两个包，它们由 Fiber 社区维护，但不属于 core，需显式引入。安装后直接在路由中使用，例如：
app.Use(helmet.New()) app.Use(csrf.New())
CSRF 中间件必须配 session 或自定义存储
csrf.New() 默认依赖 fiber.Storage 接口，但 Fiber v3 **不带内置 session 实现**。如果你没配存储，启动时不会报错，但每次请求都会生成新 token，导致表单提交始终失败。
- 用内存存储（仅开发）：
csrf.New(csrf.Config{Storage: store.New()})，需额外go get github.com/gofiber/fiber/v3/storage/memory - 用 Redis（生产推荐）：
redisStore := redis.New(...)，再传给Storage字段 - 务必在
csrf前挂载 session 中间件（如session.New()），否则ctx.Locals无法持久化 token
Helmet 不等于全防护，关键头仍需手动设
helmet.New() 会自动设置 X-DNS-Prefetch-Control、X-Frame-Options 等基础头，但它**不处理**：
-
Content-Security-Policy（CSP）：必须手动调用helmet.New(helmet.Config{ContentSecurityPolicy: "default-src 'self'"}) -
Strict-Transport-Security（HSTS）：仅当Config.ForceHTTPS为true且请求走 HTTPS 时才生效；HTTP 请求下不加该头 -
Referrer-Policy：默认值是"no-referrer-when-downgrade"，若需更严格策略（如"strict-origin-when-cross-origin"），必须显式配置
真正容易被忽略的是：所有这些中间件都**不校验请求体内容**。XSS 过滤、SQL 注入拦截、JSON schema 校验，得靠你自己的 ctx.BodyParser() 配合验证库（如 go-playground/validator）来实现。
