使用 github.com/golang-jwt/jwt/v5 生成 JWT 需显式指定 SigningMethod（如 HS256）、用 jwt.MapClaims 或自定义结构体实现 Claims、密钥转 []byte、exp 传秒级 int64 时间戳；解析时需匹配算法、校验 header typ="JWT"、去除 Bearer 前缀，并安全管理密钥（文件优先、避免硬编码）。
如何用 github.com/golang-jwt/jwt/v5 生成标准 JWT Token
Go 官方不内置 JWT 支持，必须依赖第三方库；目前最主流、维护活跃的是 github.com/golang-jwt/jwt/v5（注意是 v5，不是已归档的 v3 或过时的 dgrijalva/jwt-go）。用错版本会导致签名无效、Parse 失败或安全漏洞。
- 初始化 token 时，必须显式传入签名算法，比如
jwt.SigningMethodHS256，不能靠默认值 - claims 要用结构体实现
jwt.Claims接口，或直接用jwt.MapClaims（适合简单场景） - 密钥必须是
[]byte类型，字符串要先用[]byte("your-secret")转换，否则SigningKey会静默失败 - 示例：
token := jwt.NewWithClaims(jwt.SigningMethodHS256, jwt.MapClaims{ "sub": "12345", "exp": time.Now().Add(time.Hour).Unix(), }) signedString, err := token.SignedString([]byte("my-secret"))
为什么 exp 字段总被忽略或报 Token is expired
JWT 验证时默认校验 exp、nbf、iat 等时间字段，但生成时如果只写 "exp": time.Now().Add(...).Unix()，而验证端没配 WithExpiresAt 或时钟偏差容忍，就会立刻失效。
-
exp值必须是 int64 类型的 Unix 时间戳（秒级），不是毫秒，也不是time.Time对象 - 验证时建议用
jwt.WithValidMethods+jwt.WithTimeFunc控制时钟源，避免服务器时间不同步导致误判 - 开发调试可临时禁用时间检查：
jwt.WithoutVerification()，但上线前必须删掉 - 常见错误：用
time.Now().UnixMilli()—— 这会导致exp是毫秒值，验证器认为它远在公元 1970 年之后几百年，直接拒绝
如何安全地管理 JWT 密钥并避免硬编码
把密钥写死在代码里等于把锁芯刻在门上。生产环境必须隔离密钥来源，且不能依赖环境变量裸传（容易被 ps 或日志泄露）。
- 优先从文件读取：
ioutil.ReadFile("/run/secrets/jwt_key")（Docker Swarm）、或/etc/tls/jwt.key（K8s ConfigMap 挂载） - 若用环境变量，务必确保进程启动前已清除命令行参数（Go 的
os.Args可能暴露-secret=xxx） - 密钥长度要有基本要求：HS256 至少 32 字节，否则 Go JWT 库会警告
signing key too weak - 别用
uuid.NewString()直接当密钥 —— 它是 base32 编码，实际熵值不足，应改用crypto/rand.Read()生成随机字节
解析 Token 时常见的 square/go-jose: error in cryptographic primitive
这个错误不是加密算法问题，而是底层 crypto 库发现签名验证失败，原因往往和密钥、算法、header 不匹配有关。
立即学习“go语言免费学习笔记（深入）”；
- 检查
alg是否一致：生成用HS256，解析时却传了HS512，就会触发该错误 - 确认 header 中的
typ是"JWT"（小写），某些旧客户端发"jwt"会导致解析失败 - 使用
ParseWithClaims时，第二个参数必须是具体类型（如&MyClaims{}），不能传nil或空指针 - 如果 token 是从 HTTP Header 取的，记得去掉
"Bearer "前缀，否则Parse会因非法 base64 报错，但错误信息仍显示为 crypto primitive 错误
len(key) 和 string(key)。 
