Revel 框架需通过 Interceptor（非 middleware）集成 JWT，关键是在 BEFORE 阶段校验 Token 并用 c.Abort 统一响应，避开 OPTIONS 预检阻断，密钥须在 OnAppStart 初始化，避免配置未加载导致签名失败。
Revel 框架本身不内置 JWT 支持，但可以轻量集成——关键不是“装个包就完事”，而是把 jwt-go 的签发、解析、校验逻辑，准确嵌入 Revel 的拦截器（Interceptor）生命周期中，并避免在 app.Init 阶段误用未初始化的配置。
为什么 Revel 不能直接用 middleware 包？
Revel 的中间件模型和标准 Go HTTP 中间件不兼容。它用的是 Interceptor，注册在 app.Interceptors 切片里，执行时机固定（如 BETWEEN、FINALLY），不能像 http.HandlerFunc 那样链式调用。强行套用第三方中间件会导致：请求上下文丢失、revel.Result 被跳过、Abort 行为失效。
- 常见错误现象：
401 Unauthorized返回但没走revel.RenderError，前端收不到 JSON 提示 - 根本原因：在
BEFORE拦截器里手动写w.WriteHeader(401)+json.NewEncoder(w).Encode(...)，绕过了 Revel 的响应流程 - 正确做法：统一用
c.Abort(revel.StatusUnauthorized, "invalid token")，让 Revel 控制响应格式和状态码
如何安全生成和验证 JWT？
别用硬编码密钥，也别在 app.conf 里明文存 jwt.secret = my-secret。Revel 的配置加载顺序决定了：若在 app.Init 函数里直接读 revel.Config.StringDefault("jwt.secret", "")，可能因配置未完全解析而返回空字符串，导致 jwt.SigningMethodHS256 签名失败。
- 推荐方案：在
app.Init后、revel.Run前，用revel.OnAppStart初始化密钥 - 代码示例：
var jwtSecret []byte func init() { revel.Interceptors = append(revel.Interceptors, revel.BEFORE, JWTAuth) } func JWTAuth(c *revel.Controller) revel.Result { tokenString := c.Request.Header.Get("Authorization") if tokenString == "" { return c.Abort(revel.StatusUnauthorized, "missing Authorization header") } if len(tokenString) - 注意：
jwt.Parse不会自动校验exp，必须显式检查：if exp, ok := claims["exp"].(float64); ok && time.Now().Unix() > int64(exp) { ... }
如何避免跨域预检（OPTIONS）被拦截器阻断？
Revel 默认对所有请求（包括 OPTIONS）执行 BEFORE 拦截器。JWT 校验逻辑若未排除预检请求，会导致前端跨域登录失败——浏览器发 OPTIONS 时没带 Authorization，拦截器直接 Abort(401)，后续 POST /login 根本不会发出。
- 解决方案：在
JWTAuth开头加判断：if c.Request.Method == "OPTIONS" { return nil } - 额外建议：在
app.conf中配好 CORS 头，例如：result.headers.Access-Control-Allow-Origin = "*"，但生产环境应限制具体域名 - 不要依赖前端库自动加
Authorization：Revel 不处理预检缓存，每次跨域请求前必发OPTIONS，必须确保该请求能透传
最易被忽略的点是：Revel 的 c.Params.Values 是请求级存储，JWT 解析出的 user_id 可以安全用于后续 Action，但千万别把它当成全局变量去复用——每个请求都有独立的 Controller 实例，Params 不会在请求间共享，这点反而比自己手写中间件更安全。
