Iris的JWT中间件不能直接塞进Controller方法，因为控制器方法不参与中间件链执行；正确做法是将JWT验证作为路由级中间件，在控制器执行前完成校验，并通过ctx.SetUser()注入强类型用户对象供Controller安全使用。
为什么 Iris 的 JWT 中间件不能直接塞进 Controller 方法里
因为 Iris 的控制器（iris.Controller）方法本身不参与中间件链执行——中间件只作用于路由注册时绑定的 handler，而控制器方法是被反射调用的业务逻辑入口。你如果在 Handle 或 Get 方法里手动调用 jwt.Verify()，会绕过标准错误处理、上下文生命周期管理，且无法统一拦截未认证请求。
正确做法是：把 JWT 验证作为路由级中间件，在控制器执行前完成校验，并将解析后的用户信息注入 ctx.Values() 供 Controller 使用。
- 别在
Controller.Get()里写token := ctx.GetHeader("Authorization")+ 手动解析——重复、易错、难复用 - 用
iris.JWT（来自github.com/kataras/iris/v12/middleware/jwt）注册中间件，它自动处理Authorization: Bearer xxx、签名验证、过期检查 - 验证成功后，
ctx.User()可直接拿到 payload（需提前配置Config.SigningKey和Config.Extractor）
iris.JWT 中间件怎么传入自定义用户模型
iris.JWT 默认只解析 token 并存入 ctx.Values().Get("jwt")，返回的是原始 map[string]interface{}。要让 Controller 直接用结构体（比如 type User struct { ID int `json:"id"` }），必须显式转换并重写 ctx.User()。
推荐在中间件中完成这步：
jwtHandler := jwt.New(jwt.Config{
SigningKeys: map[string][]byte{"HS256": []byte("my-secret")},
Extractor: jwt.FromAuthHeader,
Validator: func(ctx iris.Context, token *jwt.Token) error {
// 可选：校验 issuer、audience 等
return nil
},
})
// 包装一层，注入强类型 User
authMiddleware := func(ctx iris.Context) {
err := jwtHandler.Check(ctx)
if err != nil {
ctx.StatusCode(iris.StatusUnauthorized)
ctx.JSON(iris.Map{"error": "invalid or expired token"})
return
}
// 解析出 payload 并转为 User 结构
claims := jwt.ExtractClaims(ctx)
var user User
if err := mapstructure.Decode(claims, &user); err == nil {
ctx.SetUser(&user) // 这样 Controller 里就能用 ctx.User().(*User)
}
ctx.Next()
}
- 别依赖
ctx.User()默认返回值——它只是原始 map，没做类型转换 - 用
mapstructure（或json.Unmarshal）把claims转成你的 User 结构，避免字段类型错位（比如"id": "123"被当字符串而非 int） -
ctx.SetUser()是关键，否则 Controller 拿不到指针类型
Controller 里怎么安全读取当前登录用户
Controller 的 BeginRequest(ctx iris.Context) 是唯一能可靠获取上下文的地方。不能在字段初始化时读取 ctx.User()，因为那时 ctx 还没注入。
示例：
type UserController struct {
Ctx iris.Context
User *User `inject:"user"` // ❌ 错误：inject 标签不生效，Iris 不支持字段注入
}
func (c *UserController) Get() string {
// ✅ 正确：每次请求都从 ctx 拿
user := c.Ctx.User().(*User)
return fmt.Sprintf("Hello %d", user.ID)
}
- Controller 字段不能用
inject或其他 DI 方式预设用户对象——Iris 控制器是复用实例，ctx是每次请求新创建的 - 所有用户相关逻辑必须在
Get/Post等方法内，通过c.Ctx.User()获取，并做类型断言（记得加 panic 防御或判断ok） - 如果断言失败，说明中间件没跑完或 token 验证被跳过——检查路由是否真的应用了
authMiddleware
为什么登录接口返回的 token 总是验证失败
常见原因是签名密钥不一致或时间偏差。JWT 验证失败时 iris.JWT 默认只返回泛错误，看不出具体原因。
- 确保生成 token 用的密钥和
iris.JWT配置的SigningKeys完全一致（包括类型、长度、编码） - 服务端时间不准会导致
exp/nbf校验失败——用ntpdate -s time.nist.gov同步服务器时间 - 前端传 token 时漏了
Bearer前缀（注意空格），FromAuthHeader提取器会失败，改用FromParameter("token")临时调试 - 用
jwt.ParseUnverified(token, &jwt.Token{})手动解析 token 查看 header/payload 内容，确认alg是 HS256、iss匹配、exp未过期
最常被忽略的是：开发环境用 "secret"，部署时忘了换正式密钥，导致所有生产 token 全部失效。
