WebSocket鉴权必须在Upgrader.Upgrade()前完成，从r.Header或r.URL.Query提取Token并同步校验JWT的iat/nbf/exp（用time.Now().UTC()），失败时http.Error返回401；成功后将用户信息存入自定义Conn结构体，避免依赖已失效的*http.Request。
WebSocket握手时怎么读取并校验Token
Go 的 gorilla/websocket 默认不解析 HTTP 头或 URL 查询参数，鉴权必须在 Upgrader.Upgrade() 调用前手动完成。否则一旦连接建立，就再没机会拒绝——用户已经“进来了”。
常见错误是把鉴权逻辑写在 WebSocket 消息处理循环里，结果非法用户连上了、占着连接、还可能触发后续业务逻辑。
- 从
*http.Request中提取 Token：优先用 Authorization Header（r.Header.Get("Authorization")）， fallback 到 URL 查询参数（r.URL.Query().Get("token")） - 不要在
Upgrader.CheckOrigin里做鉴权——它只适合来源域检查，且返回 false 时错误信息固定为"origin not allowed"，无法区分未授权和跨域失败 - Token 解析和校验必须同步完成，不能异步等待（比如等数据库查完），否则
Upgrade()会超时或 panic
如何让Upgrade()失败并返回401而不是直接panic
Upgrader.Upgrade() 本身不支持自定义 HTTP 状态码；它内部调用 response.WriteHeader(101) 后才开始写 WebSocket 协议帧。想返回 401，必须在调用 Upgrade() 前就终止响应。
典型误操作：先调 Upgrade()，发现鉴权失败再写 http.Error() —— 此时 Header 已发，浏览器收到的是协议错乱的混合响应，控制台报 Invalid frame header 或直接断连。
立即学习“go语言免费学习笔记（深入）”；
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 鉴权逻辑必须放在
Upgrade()调用之前 - 鉴权失败时，直接调
http.Error(w, "Unauthorized", http.StatusUnauthorized)并 return - 确保 handler 函数里没有其他写入 response.Body 的操作（比如 log 打印到 w）
Token解析后怎么安全传给WebSocket连接上下文
鉴权通过后，你通常需要把用户 ID、角色等信息传给后续的读/写 goroutine。别用全局变量或闭包捕获 request，因为 *http.Request 在 Upgrade() 后就不可靠了（底层连接已被接管）。
正确做法是利用 Upgrader 的 Subprotocols 字段或自定义结构体携带数据，但最稳妥的是：把解析出的用户信息塞进一个自定义连接结构体，在 Upgrade 成功后立即关联。
- 定义结构体如
type Conn struct { *websocket.Conn; UserID string; Role string } - Upgrade 成功后立刻 new 出该结构体，把鉴权结果存进去
- 避免把原始
*http.Request或其字段（如r.Context()）直接传给长连接 goroutine——它的生命周期不保证覆盖整个 WebSocket 生命周期
为什么JWT解析要校验iat/nbf/exp且必须用time.Now().UTC()
本地时间（time.Now()）可能因系统时区或 NTP 漂移导致校验失败；客户端和服务端时间不同步时，exp 过期判断会不准。JWT 标准要求所有时间戳都是 UTC，且必须严格校验 nbf（not before）和 exp（expires at）。
常见坑：用 jwt.Parse(..., func(t *jwt.Token) (interface{}, error) {...}) 时，只校验签名，漏掉时间字段验证，结果过期 Token 仍能握手成功。
- 务必启用
VerifyExp和VerifyNbf：在jwt.Parser初始化时传&jwt.Parser{ValidateExp: true, ValidateNbf: true} - 校验函数中使用
time.Now().UTC()，而非time.Now().Local() - 如果服务部署在多个时区机器上，统一用 UTC 时间 + NTP 同步，避免节点间时间差引发偶发鉴权失败
真正难的不是写几行解析代码，而是确保时间判断、错误拦截、上下文传递这三处不出现竞态或时序错位——这些地方一松动，漏洞就藏在合法连接的缝隙里。
