Iris中中间件执行顺序由注册顺序决定：请求时正向执行（先注册先运行），响应时逆向执行；分组中间件叠加在全局中间件之后，需显式调用Use()且必须在路由注册完成后、app.Listen()前执行。
中间件注册顺序决定执行顺序
在 Iris 中，app.Use() 或 party.Use() 添加的中间件按调用顺序从左到右入栈，请求时正向执行（第一个注册的最先运行），响应时逆向执行（最后一个注册的最先返回）。这和 Gin 的“洋葱模型”一致，但 Iris 不自动校验中间件是否已写响应，全靠你控制流程。
常见错误是把日志中间件放在鉴权之后：鉴权失败返回 401，但日志中间件还没执行完，导致错误请求没被记录；或者把 recover 中间件放太后面，panic 发生时前面的中间件已部分写响应，recover 捕获不到或响应混乱。
- 鉴权类中间件（如 JWT 校验）应尽早注册，确保在业务逻辑前拦截非法请求
- recover、accesslog 这类兜底/记录型中间件建议放在最外层（即
app.Use()最先调用） - 路由分组（
app.Party("/api")）内的中间件只影响该分组，且会叠加在全局中间件之后执行 - 不要在同一个
Use()调用里传多个 handler 并依赖隐式顺序——显式拆成多次Use()更清晰、易调试
分组中间件与路由级中间件的叠加规则
app.Party("/admin", adminMiddleware) 这种写法注册的中间件，会在该分组所有路由处理前执行一次；但它不会覆盖或跳过全局 app.Use() 注册的中间件。实际执行链是：全局中间件 → 分组中间件 → 路由 handler。
容易踩的坑是以为加了分组中间件就不用再单独挂鉴权——比如 /admin 分组用了 authMiddleware，但 /admin/users 下某个 Get 路由又额外加了 roleCheck，这时执行顺序是：全局中间件 → authMiddleware → roleCheck → handler。如果 roleCheck 忘了 ctx.StopExecution()，即使鉴权失败也会继续跑下去。
- 分组中间件适合统一前置逻辑（如权限基础校验、租户识别），不推荐塞复杂业务逻辑
- 单个路由可追加中间件：
adminRouter.Get("/settings", middlewareA, middlewareB, handler)，它们在分组中间件之后、handler 之前执行 - 避免在 Party 构造时传匿名函数做重逻辑——难以复用、测试和 debug
ctx.Next() 不等于 ctx.Abort()，漏掉 StopExecution 就会穿透
Iris 的 ctx.Next() 只是把控制权交给下一个 handler，它不检查响应状态、不中断后续代码执行。这意味着：你在中间件里写了 ctx.JSON(401, ...)，但没跟 ctx.StopExecution()，下一行的 ctx.Next() 或 handler 仍会执行。
典型现象是 JWT 验证失败后，用户数据被意外删除，或日志里出现“401 + 200”双状态。这不是框架 bug，是你没切断执行流。
- 所有提前终止请求的中间件，必须在写响应后立刻调用
ctx.StopExecution() - 别依赖
return退出函数——Iris 不阻止中间件函数 return 后继续跑ctx.Next() - 用 if/else 结构明确分支：
if !valid { ctx.StatusCode(401); ctx.StopExecution(); return }，然后才写ctx.Next()
BeforeActivation 和 AfterActivation 改变控制器内执行顺序
MVC 模式下，BeforeActivation 和 AfterActivation 不是中间件，而是控制器生命周期钩子。它们在路由注册阶段运行，用于动态绑定路径、注入 handler 或修改已有路由配置。
比如你在 AfterActivation 里给某个方法对应的路由追加 cache 中间件：index.Handlers = append([]iris.Handler{cacheHandler}, index.Handlers)，这个 cacheHandler 就会插在该路由原有中间件之前执行——但它不影响其他路由，也不改变全局顺序。
-
BeforeActivation适合定义自定义路径映射（如把CustomHandler绑定到/custom） -
AfterActivation适合补丁式增强，比如统一加 metrics、trace ID 注入，但别在这里做鉴权（时机太晚，路由已注册） - 这两个钩子只对当前控制器生效，不能替代中间件做跨 Controller 的通用逻辑
真正难调试的不是顺序本身，而是某一层中间件悄悄改写了 ctx.Values() 或 session，却被下一层当成原始输入；或是 ctx.StopExecution() 被包裹在 defer 里，根本没生效。上线前务必用 curl 模拟预检、鉴权失败、panic 等边界请求，看响应头和状态码是否符合预期。
