c.Session()返回nil常因session.Middleware()注册顺序错误，必须置于所有依赖session的中间件（如RequireLogin、binding.Middleware）之前；且需显式调用c.Session().Save()才能提交cookie。
中间件注册顺序错了，c.Session() 就是 nil
Buffalo 的中间件执行是严格按 app.Use() 注册顺序来的，session.Middleware() 必须在所有依赖 session 的中间件之前注册。比如你把自定义的 RequireLogin 放在 session.Middleware() 前面，c.Session() 在中间件里就会返回 nil，后续 .Get() 或 .Set() 全部静默失败。
常见错误写法：
app.Use(RequireLogin) app.Use(session.Middleware()) // ❌ 晚了
正确顺序：
app.Use(session.Middleware()) app.Use(RequireLogin) // ✅
其他必须前置的中间件还有：binding.Middleware（用于 c.Bind()）、csrf.Middleware（如果启用）。顺序错一个，整个链就断。
RequireLogin 中间件为什么重定向后没 flash 提示
因为没调 c.Session().Save()。Buffalo 的 session 是“写时提交”模型：你调 c.Session().Set("flash", "请先登录") 只是把数据塞进内存，不调 Save() 就不会生成 Set-Cookie 头，浏览器收不到新 cookie，重定向到 /login 后自然看不到提示。
正确写法要点：
Buffalo框架 1.0.1 版本源码包下载，适合需要错误处理改进、依赖更新、render.Download 注释和 request logger 调整的 v1 项目。
-
c.Session().Set("flash", "...")后必须紧跟c.Session().Save() -
c.Redirect(302, "/login")返回的是error，Buffalo 会终止当前请求链，后面别再写return next(c)或其他逻辑 - 类型断言要防 panic：
if v, ok := c.Session().Get("user_id"); !ok || v == nil，别直接.Get("user_id").(int)
中间件里读不到 Header 或 Body 被“吃掉”了
不是 header 消失了，是 request body 已被前面的中间件提前读取并关闭。比如你注册了 binding.Middleware（处理 JSON 表单），它会调 io.ReadAll(r.Body) 解析内容，之后再有中间件想读 c.Request().Body 就只能拿到空流。
解决办法取决于你要做什么：
- 只读 header？放心用
c.Request().Header.Get("X-Forwarded-For")，header 不受影响 - 要检查文件大小？别等 binding，用
c.Request().Header.Get("Content-Length")在最前拦截 - 真要重读 body？得用
http.MaxBytesReader包装原始r.Body，并在中间件里手动io.Copy(ioutil.Discard, r.Body)清空，再r.Body = ioutil.NopCloser(bytes.NewBuffer(...))重置——但极不推荐，容易出竞态
如何让中间件只对部分路由生效
别往 app.Use() 里塞全局中间件。Buffalo 路由支持分组，中间件应按需挂载到 app.Group() 上：
api := app.Group("/api")
api.Use(RequireLogin) // 只影响 /api/* 路径
api.GET("/users", UsersList)
<p>auth := app.Group("/auth")
auth.Use(NoAuthRequired) // 专门放 login/register，避开 RequireLogin
auth.POST("/login", LoginHandler)</p>
注意：app.Group() 返回的是新的 App 实例，它的 Use() 不会影响其他组或根路由。滥用全局 app.Use() 最常见的后果就是：连 /login 页面自己都打不开。
真正难处理的是那些看似“静态”、实则需要上下文的路径，比如 /health 或 /api/keepalive ——它们不该触发登录检查，也不该更新 last_activity，得在中间件里用 c.Request().URL.Path 显式过滤，否则自动续期逻辑会把心跳请求也当活跃操作，导致用户永远登不掉。
