Buffalo 的 auth 插件需手动集成配置，否则无认证功能：须执行 go get、buffalo generate auth、app.Use(auth.Middleware())、buffalo db migrate，并正确设置 session 密钥、CSRF token、重定向逻辑及自定义 User 字段适配。
Buffalo 框架里用 auth 插件做用户认证，不是开箱即用的
Buffalo 本身不内置用户注册、登录、会话管理逻辑，得靠 github.com/gobuffalo/auth 这个官方插件——但它不是自动集成的，需要手动加、手动配，否则跑起来只有空壳路由。
常见错误现象：buffalo generate auth 执行后没反应，或生成的 actions/auth.go 里缺 AuthNew/AuthCreate 方法，甚至数据库迁移没建 users 表。
- 必须先运行
go get github.com/gobuffalo/auth，再执行buffalo generate auth - 生成后要手动在
app.go的App()函数里调用app.Use(auth.Middleware())，否则中间件不生效 -
buffalo db migrate必须在生成 auth 后立刻执行，否则User模型查不到表，auth.Login会 panic 报table users does not exist
auth.Login 和 auth.CurrentUser 的行为依赖 session 配置
默认 Buffalo 用 cookie session，但 auth.Login 写入 session 后，如果没正确配置加密密钥或 domain，后续 auth.CurrentUser 就拿不到用户对象，返回 nil，页面看似登录成功实则未认证。
Buffalo框架 1.0.1 版本源码包下载，适合需要错误处理改进、依赖更新、render.Download 注释和 request logger 调整的 v1 项目。
- 确保
env.DEV或env.PRODUCTION下的session_store配置了key（如env.SECRET_KEY_BASE），否则 session 签名失败 - 开发时若用
localhost:3000，但 cookie domain 设成.example.com，浏览器会拒收，auth.CurrentUser始终为空 -
auth.CurrentUser(r)返回的是*models.User，不是原始map[string]interface{}，字段访问要走u.ID、u.Email，不能用u["email"]
自定义 User 模型字段时，auth 插件不会自动适配
比如你改了 models/user.go，把 Email 字段换成 Username，或者加了 IsActive bool 校验，auth.Login 还是按默认逻辑查 Email 和 Password 字段，直接报 field Email not found 或密码比对永远失败。
- 必须重写
auth.Login的查找逻辑：在actions/auth.go里修改AuthCreate方法，用tx.Where("username = ?", email).First(&user)替换默认查询 - 密码验证不能只靠
user.ComparePassword(password)，得先确认user.IsActive为true，否则停用账号也能登录 -
auth.New表单提交目标仍是/login，但后端接收结构体必须包含你新增的字段（如Username），否则绑定失败，email变量为空
CSRF 和重定向逻辑容易被忽略，导致 POST 登录 403 或跳转错乱
Buffalo 默认开启 CSRF 保护，auth.New 页面没带 authenticity_token，auth.Login 提交就会 403；而登录成功后若没显式设置 r.Session().Set("flash", ...) 或没配 ReturnTo，可能跳回首页而非用户想访问的原页面。
- 所有登录表单必须包含
<input name="authenticity_token" value="<%= authenticity_token() %>">，否则POST /login直接被中间件拦截 - 登录成功后建议用
return c.Redirect(302, r.Referer())或读取r.Param("redirect")，别硬写c.Redirect(302, "/dashboard") - 登出（
auth.Destroy）后记得调用r.Session().Clear()，否则旧 session 还在，auth.CurrentUser可能仍返回上一个用户
真正麻烦的不是生成 auth，而是模型字段、session 配置、CSRF token、重定向路径这四点全得对齐，漏一个就卡在“看起来跑起来了，但实际没认证”。
