Echo框架中Authorization头被自动转为小写，需用req.Header.Get("authorization")获取；JWT解析须防panic，RS256需配*rsa.PublicKey，时间校验需注意服务器时钟偏移。
Authorization头被自动小写，提取逻辑失效
Echo 框架底层基于 net/http，而 Go 的 http.Request.Header 会把所有 header key 自动转为小写（如 Authorization → authorization）。如果你在中间件里写 req.Header.Get("Authorization")，结果永远是空。
正确做法是统一用小写键名获取：
- 使用
req.Header.Get("authorization")（推荐） - 或更健壮地：先取
req.Header.Get("authorization")，若为空再 fallback 到req.Header.Get("Authorization") - 提取 token 时注意
"Bearer xxx"格式：用strings.TrimSpace()去首尾空格，再strings.SplitN(header, " ", 2)避免空格分割出错
JWT解析时 panic 而非返回错误响应
当传入的 token 字符串格式非法（比如少一个 .、含非法 Base64URL 字符、JSON 解析失败），jwt.Parse 会直接 panic，而不是返回 error。Echo 默认 panic 处理器会返回 500，而非预期的 401。
必须显式 recover：
- 在 JWT 中间件中用
defer func() { if r := recover(); r != nil { ... } }() - 或改用
jwt.ParseWithClaims并检查返回的err，不要依赖 panic 捕获 - 特别注意：token 被篡改（如改签名部分）会导致
jwt.ValidationError，需区分errors.Is(err, jwt.ErrSignatureInvalid)等类型做不同响应
算法与密钥类型不匹配导致签名验证静默失败
Echo 自带的 middleware.JWT 默认只支持 HS256 + 字符串密钥。如果你用的是 RSA 公私钥（RS256），但没传 *rsa.PublicKey 给 middleware.JWTWithConfig 的 SigningKey，它会尝试用字符串密钥去验 RS256 签名——结果永远失败，且不报明确错误。
Echo框架 5.1.0
下载
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
关键检查点：
- Header 中
alg字段值（HS256/RS256）必须和你配置的SigningMethod及SigningKey类型严格一致 - RS256 场景下，
SigningKey必须是*rsa.PublicKey，不能是 PEM 字符串或[]byte - 加载公钥时务必从 PEM 块中正确提取：
pem.Decode()后检查block.Type == "PUBLIC KEY"，再用x509.ParsePKIXPublicKey()
过期/未生效时间校验失败但没开日志定位
exp、nbf、iat 校验失败时，jwt.Parse 返回的 jwt.ValidationError 的 Errors 字段是位掩码（如 jwt.ValidationErrorExpired），默认不会输出具体原因。
调试建议：
- 启用详细日志：在 parse 前打印原始 token 和当前系统时间（
time.Now().UTC()） - 检查服务器时间是否严重偏移（> 1 分钟），尤其 Docker 容器或云函数环境常有此问题
- 避免硬编码
time.Now()；用jwt.WithTimeFunc(func() time.Time { return time.Now().UTC() })显式控制时间源
实际中最容易被忽略的是：RSA 公钥加载后没做类型断言，直接塞进 SigningKey，导致签名验证走默认字符串路径，失败却不报错。
