最简路径是用 gorilla/sessions 存用户 ID 和 []string 角色，配合预热加载的内存权限映射表（map[string]map[string][]string）与路由入口处的中间件校验；务必显式调用 session.Save()、角色存切片、校验失败即 http.Error 并 return。
用 gorilla/sessions 做登录态 + RBAC 权限校验最简路径
Go 后台权限管理不是靠框架自动兜底，而是靠「会话绑定角色」+「中间件拦截路由」两步落地。别碰那些封装过重的权限库，先用 gorilla/sessions 存用户 ID 和角色列表，再在 HTTP handler 前加一层校验逻辑——这是最可控、最容易 debug 的方式。
常见错误现象：session.Save() 被忽略导致登录后立刻掉状态；角色字段存成字符串（如 "admin"）而非字符串切片，后续 Contains 判断失败；中间件没 return，校验不通过还继续执行下游 handler。
- Session 必须显式调用
session.Save(r, w)，且不能在 writeHeader 之后调用 - 角色建议存为
[]string（如["user", "editor"]），避免硬编码字符串比较 - 权限校验中间件里，检查不通过要直接
http.Error(w, "...", http.StatusForbidden)并 return - 不要把权限判断逻辑塞进模板渲染层，那属于运行时才发现问题，应该卡在路由入口
HTTP 中间件里怎么高效查权限？别每次 DB 查询
RBAC 的核心是「资源-动作-角色」三元组，但 Go 后端真正在中间件里查的，其实是「当前请求路径 + 方法」是否被当前用户角色允许。这个映射关系必须预热加载进内存，否则每个请求都查 DB 或 Redis，性能直接崩。
使用场景：后台有几十个 API 路由，对应不同角色可访问范围（如 GET /api/users 允许 admin 和 editor，POST /api/posts 允许 editor 和 author）。
立即学习“go语言免费学习笔记（深入）”；
- 启动时从配置文件或 DB 加载权限规则，构建成
map[string]map[string][]string：外层 key 是method + path（如"GET:/api/users"），内层 value 是允许的角色列表 - 中间件里只做 O(1) 查表 + O(n) 角色匹配，不用任何锁（规则只读）
- 避免用正则匹配路径，比如
/api/users/:id这类动态路由，提前在加载阶段就标准化为/api/users/{id}再存入 map - 如果权限规则会动态更新，用
sync.RWMutex包一层 map，写少读多场景下影响极小
net/http 路由注册顺序导致权限中间件失效
Go 原生 http.ServeMux 或 gorilla/mux 不支持「全局中间件」概念，中间件必须手动套在每个 handler 外。顺序错了，比如把日志中间件包在权限中间件外面，就可能让未授权请求留下完整 access log；更糟的是，把权限中间件漏套在某个 handler 上，那个接口就裸奔了。
参数差异：gorilla/mux 的 Router.Use() 看似是全局，但它只对 Router.HandleFunc() 生效，对 Router.PathPrefix().Handler() 这类子路由无效——这点文档写得模糊，很多人踩坑。
- 所有业务 handler 必须显式包装：例如
http.HandlerFunc(authMiddleware(userHandler)) - 用
gorilla/mux时，确认你用的是r.HandleFunc(...).Methods(...)而非r.PathPrefix(...).Handler(...)，后者绕过Use() - 给关键接口加单元测试，构造无 session 的请求，断言返回
403而非200或 panic - 用
http.Redirect做未登录跳转时，注意 Location 头不能带敏感参数，容易泄露权限意图
JWT 替代 session？小心 Go 标准库的 time.Now().UTC() 时区陷阱
用 JWT 做无状态鉴权看似省事，但在 Go 里极易因时间校验失败导致 token 总是被拒。标准库 jwt-go（v3 及以前）默认用 time.Now().UTC() 比较 exp 字段，而如果你的服务部署在非 UTC 时区且没设环境变量，time.Now() 返回的是本地时间，和 UTC token 的 exp 对不上。
性能影响：JWT 解析本身很快，但每次都要 base64 解码 + ECDSA 验签（如果用了 ES256），比 session 查内存慢一个数量级；兼容性上，jwt-go v4 已废弃，新项目该用 golang-jwt/jwt。
- 强制设置
TZ=UTC在容器或 systemd service 里，别信系统默认时区 - v4 库里验证要用
token.Claims.(jwt.MapClaims)["exp"]手动转int64，再跟time.Now().Unix()比，别依赖Valid()默认行为 - 别把角色存在 JWT payload 里长期不刷新，一旦角色变更，旧 token 还有效——除非你维护一个 jti 黑名单
- 调试时打印
token.Claims.(jwt.MapClaims)全量内容，重点看iat和exp是否符合预期
