echo-jwt/v4 默认不查 Redis 是因其设计为无状态、轻量，仅校验签名及 exp/nbf/iat 时间字段；若需登出即失效，须在中间件链中 echo-jwt 之后添加自定义黑名单检查，通过 jti 查 Redis 的 revoked:{jti} 键，并确保写入使用 SET ... NX + 动态 TTL 对齐 token 过期时间。
为什么 echo-jwt/v4 默认不查 Redis 就放行
因为 echo-jwt/v4 的设计目标就是无状态、轻量、只做签名和时间字段校验。它调用 token.Valid 时，仅检查 exp/nbf/iat 和签名是否合法，完全不访问任何外部存储。如果你需要“登出即失效”，这不是配置问题，而是必须自己补一层逻辑——在 echo-jwt 中间件之后，再挂一个自定义中间件。
如何链式插入黑名单检查中间件
别改 echo-jwt 配置，直接在它后面注册新中间件，从 c.Get("user") 取已解析的 *jwt.Token，提取 jti 查 Redis：
- 签发时必须设
claims["jti"] = uuid.NewString()，否则黑名单无法精准定位 - Redis key 建议用
revoked:{jti}，TTL 与 token 的exp对齐（比如 15 分钟） - 检查逻辑要短路：如果
redis.GET revoked:{jti}返回非空，立刻return echo.NewHTTPError(http.StatusUnauthorized, "token revoked") -
不要重复解析 token——
echo-jwt已把完整*jwt.Token放进 context，直接类型断言即可
ParseWithClaims 必须显式控制的三个危险点
echo-jwt 底层调的是 jwt.ParseWithClaims，默认行为极易出错：
Echo框架 5.1.0
下载
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
-
alg: none可绕过签名：在KeyFunc里必须拒绝token.Header["alg"] == "none" - 时间戳单位错乱：
exp必须是秒级int64，不是毫秒；否则刚签发就报"token is expired" - 服务端时间漂移：用
jwt.WithValidTimeFunc容忍 ±5s 偏差，否则客户端和服务端时钟差几秒就会误拒
Redis 黑名单写入要防并发竞争
“查不到就放行”看似合理，但在生产环境会漏检：
- 用户刚登出，紧接着发请求 → Redis 写入延迟导致漏检：用
SET revoked:{jti} "" EX 900 NX（NX保证原子性） - 服务端时间比客户端快几秒 → token 实际未过期但被拒：靠
WithValidTimeFunc补偿，不能只信系统时钟 - 黑名单 key 过期时间必须严格对齐 token 的
exp，否则会残留无效 key 或提前失效
真正难的不是加中间件，而是让黑名单写入、读取、过期三者在高并发下保持语义一致——这要求 Redis 操作必须原子、TTL 必须动态对齐、时间校验必须带宽容窗口。
