Revel框架需手动实现登录拦截中间件：在app/init.go的init()中用revel.Intercept注册BEFORE拦截器，检查session["user_id"]是否为合法非空值，未登录时调用c.Redirect(Login.Action)或c.RenderJSON，并通过c.Flash.Out["error"]传递提示消息。
Revel框架里怎么加登录拦截中间件
Revel 没有内置的“登录拦截器”概念，得靠 Interceptor 机制手动实现。核心是注册一个在 Action 执行前运行的函数，检查 session 里有没有有效的用户标识（比如 session["user_id"]），没有就重定向到登录页或返回提示。
常见错误是只判断 session["user_id"] != nil，但没验证值是否为非空字符串或合法整数——导致空字符串或 "0" 被误认为已登录。
- 拦截逻辑必须放在
app/init.go的init()函数中，用revel.Intercept注册，作用域选revel.BEFORE - 推荐只对需要保护的控制器生效，比如
revel.BEFORE+controllerName == "App"，而不是全局拦截所有请求（否则静态资源、登录接口本身也会被拦） - 不要在拦截器里调用
render()，Revel 的模板渲染依赖于 controller context；正确做法是调用c.Redirect(Login.Action)或c.RenderError("请先登录", 401)
怎么在模板里显示登录失败提示
Revel 的 flash 机制是跨请求传提示消息的唯一可靠方式。拦截器中不能直接往模板传变量，但可以写入 c.Flash.Out["error"] = "未登录，无法访问"，然后在模板里用 {{.flash.error}} 读取。
容易忽略的是：flash 默认只在下一次请求有效，且如果重定向后没渲染对应模板（比如重定向到了 API 接口），提示就丢了。
- 确保登录页模板（如
views/App/Login.html）里写了{{if .flash.error}}{{.flash.error}}{{end}} - 如果用 AJAX 请求受保护接口，别依赖 flash —— 改用 JSON 响应，比如
return c.RenderJSON(map[string]string{"error": "未登录"})，前端统一处理 401 状态码 - flash 消息不会自动转义，若内容来自用户输入（比如把用户名拼进提示），需手动用
{{.flash.error | safe}}（不推荐）或提前过滤，更稳妥的是固定文案
为什么登录后跳回原页面总失败
Revel 不自动保存原始请求路径，需要自己存。典型做法是在拦截器里检测未登录时，把当前 c.Request.URL.String() 存进 flash 或 session，登录成功后再从中读取并重定向。
问题常出在 URL 编码：直接存 /admin/user?name=foo&role=bar，后面取出来重定向时可能因特殊字符（如 &、=）被截断或解析错。
- 存的时候用
url.PathEscape(c.Request.URL.String())编码，取的时候用url.PathUnescape()解码 - 更简单安全的做法是只存 path 部分（不含 query），登录后用
c.Redirect(User.Index, r.URL.Query())手动补参数 - 注意 session 过期时间要长于用户预期登录态时长，否则刚存完 nextUrl，session 就失效了，取出来是空
Session 和 Cookie 配置影响拦截效果
Revel 默认用内存存 session，重启服务后所有登录态丢失，拦截会频繁触发“假未登录”。生产环境必须配 Redis 或文件后端。
另一个坑是 Cookie 的 Secure 和 HttpOnly 设置：本地开发用 HTTP 时设了 Secure=true，浏览器不发 Cookie，session 始终为空。
- 检查
conf/app.conf中session.cookie.secure = false（开发）或true（HTTPS 生产） - 确认
session.provider = "redis"且session.redis.address可连，否则日志里会出现session save failed却不报错 - Revel 的 session key 默认是
REVEL_SESSION，如果和别的 Go 服务共用 Redis，注意避免 key 冲突导致 session 覆盖
