v5需改import路径为github.com/golang-jwt/jwt/v5，SigningMethodHS256改为&jwt.SigningMethodHS256，Claims必须用jwt.MapClaims或实现jwt.Claims接口，exp等时间字段须为秒级int64且正确设置。
jwt-go v4 和 v5 的 import 路径与签名方式差异
现在用 github.com/golang-jwt/jwt（v4）还是 github.com/golang-jwt/jwt/v5（v5），直接决定你写法是否报错。v5 把 SigningMethodHS256 拆成了 jwt.SigningMethodHS256，且 Token.Claims 类型从 map[string]interface{} 改为 jwt.MapClaims 或自定义结构体——不改就 panic。
常见错误现象：cannot use claims (type map[string]interface {}) as type jwt.Claims in argument to token.Claims =
- v4 路径：
import "github.com/golang-jwt/jwt"，jwt.MapClaims是别名，但底层仍是map[string]interface{} - v5 路径：
import "github.com/golang-jwt/jwt/v5"，必须显式用jwt.MapClaims{"exp": time.Now().Add(1 * time.Hour).Unix()}或定义结构体实现jwt.Claims接口 - 如果你用的是旧教程抄的
jwt.NewWithClaims(jwt.SigningMethodHS256, claims)，v5 里要改成jwt.NewWithClaims(&jwt.SigningMethodHS256, claims)
生成 Token 时 exp、iat、nbf 字段怎么设才不踩坑
JWT 标准字段不是可有可无的装饰，exp 缺失会导致某些中间件（如 Gin JWT middleware）直接拒绝解析；iat 和 nbf 设错会引发“token 已过期”或“尚未生效”的诡异问题，尤其在服务器时间不同步时更明显。
-
exp必须是int64时间戳（秒级），不是毫秒 —— 写成time.Now().Add(1*time.Hour).UnixMilli()就永远验不过 -
iat（issued at）建议显式设置，否则默认为 0，部分验证库会拒收 -
nbf（not before）如果设了，值必须 ≤iat，否则 token 创建即失效 - 示例正确写法：
jwt.MapClaims{"exp": time.Now().Add(30 * time.Minute).Unix(), "iat": time.Now().Unix(), "sub": "user:123"}
HS256 密钥长度不够导致签名失败或被爆破
Go 的 jwt.SigningMethodHS256 对密钥长度没强制校验，但 OpenSSL 底层要求 HS256 密钥至少 256 位（32 字节）。用短字符串（比如 "mykey"）生成的 token，签名可能通过，但实际安全性归零，甚至某些合规扫描工具直接标红。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
- 错误密钥：
"secret"（6 字节）、"12345678"（8 字节）→ 签名能跑通，但极不安全 - 推荐做法：用
crypto/rand.Read生成 32 字节随机 key，或用sha256.Sum256([]byte("your-salt-string")).Sum(nil)衍生 - 环境变量读取密钥时注意：带空格或换行的字符串会被截断，建议用
strings.TrimSpace(os.Getenv("JWT_SECRET"))
Token 签发后怎么验证它是否真能被标准库解码
别只测 “生成不 panic”，要验证下游系统（比如前端传过来的 token，或另一个微服务收到的 token）能否被原样解析。很多问题出在 base64url 编码细节或 header 头缺失上。
- 生成后立刻用
token.SignedString(key)得到完整 token 字符串，把它拆成三段（用.分割），确认每段都是 base64url 安全编码（不含+、/、=） - 拿生成的 token 字符串，用
jwt.Parse再解析一次，检查err和token.Valid是否为 true —— 这步漏掉，等于没测 - 如果用自定义 Claims 结构体，确保字段 tag 是
json:"exp"而不是json:"Exp"，否则exp不会被自动校验
最常被忽略的是：生成 token 后没做 round-trip 验证，也没检查时间字段类型和单位。一上线就被网关或前端 SDK 报 invalid signature，其实只是 exp 写成了毫秒而已。
