Gin的AuthMiddleware不能仅用c.Abort()终止请求，因其只阻断后续中间件和handler执行，不写响应会导致客户端挂起；必须配合c.JSON()等显式返回状态码和数据。
为什么 Gin 的 AuthMiddleware 不能直接用 c.Abort() 就完事
因为 c.Abort() 只是终止当前中间件链，但不会自动返回响应体——客户端可能收不到任何内容，或只收到空响应、超时，而日志里却显示 200。必须显式调用 c.JSON()、c.String() 或 c.Status() 等写响应的方法，否则 HTTP 连接会挂起。
常见错误现象：
- 前端请求卡住，Network 面板显示 pending
- 服务端日志无报错，但
c.Writer.Status()始终为 0 - Postman 收到空响应，状态码却是 200（实际未写）
正确做法：
- 校验失败后，先调
c.Abort()切断后续中间件和 handler - 紧接着调
c.JSON(http.StatusUnauthorized, gin.H{"error": "token missing"}) - 不要依赖
Recovery中间件兜底——它只捕获 panic，不处理逻辑拒绝
router.Group("/admin").Use(AuthMiddleware()) 为什么对子路由无效
这是 Gin 路由分组的常见误解：分组本身不继承中间件，Use() 必须在分组定义块内显式调用，且仅作用于该分组下注册的路由（不是嵌套分组）。如果写成：
立即学习“go语言免费学习笔记（深入）”；
admin := router.Group("/admin")
admin.Use(AuthMiddleware()) // ✅ 正确：绑定到 admin 分组
admin.GET("/users", handler) // ✅ 生效
sub := admin.Group("/v2") // ❌ sub 不自动继承 AuthMiddleware
sub.GET("/posts", handler) // ❌ 此路由无鉴权！
解决方式只有两种：
- 在
sub分组上再次调用sub.Use(AuthMiddleware()) - 把权限中间件注册为全局中间件：
router.Use(AuthMiddleware())，再用路径前缀或上下文标记区分是否放行
注意：router.Use() 是全局的，会影响所有路由（包括 /ping、静态文件），务必配合路径白名单逻辑，否则健康检查接口也会被拦。
JWT 解析后如何安全传递用户角色信息给后续 handler
不能靠全局变量或闭包存用户数据——Gin 的 *gin.Context 是并发安全的请求上下文，c.Set() 和 c.Get() 才是标准做法。但要注意：
-
c.Set("role", "admin")存的是 interface{}，取值时必须类型断言：role, ok := c.Get("role").(string) - 若中间件中解析 JWT 得到
claims结构体，建议存指针：c.Set("claims", &claims)，避免深拷贝 - 不要在中间件里直接调
c.Next()后再c.Set()——此时 handler 已执行，后续中间件拿不到 - 敏感字段如
password_hash绝对不能塞进 context，只传必要权限标识（如role_id、is_super）
典型错误写法：
func AuthMiddleware() gin.HandlerFunc {
return func(c *gin.Context) {
tokenString := c.GetHeader("Authorization")
claims, _ := ParseJWT(tokenString)
c.Set("user_id", claims.UserID) // ✅ 安全
c.Set("raw_claims", claims) // ❌ 可能含敏感字段
c.Next()
}
}
RBAC 权限校验放在中间件里还是 handler 里
必须放在中间件里。原因很实际：如果放到 handler 里，每个接口都要重复写校验逻辑，且无法统一拦截未授权请求（比如用户有 token 但没对应接口权限）。中间件能保证「请求进来第一件事就是判权」。
但 RBAC 校验本身要轻量：
- 不要在中间件里查数据库——缓存角色-权限映射（如 map[roleID][]string），启动时加载一次即可
- 路径匹配别用正则，用前缀匹配或精确路径表：
map[string]map[string]bool（method→path→allowed） - 超管（
is_super == 1）应作为快速通路，放在校验逻辑最前面，避免冗余判断 - 若权限粒度细到按钮级，中间件只做接口级准入，按钮级控制交给前端或业务层
容易被忽略的一点：Gin 的 c.Request.URL.Path 是原始路径，未解码。如果路径含中文或特殊字符（如 /user/%E4%BD%A0%E5%A5%BD），需先调 url.PathUnescape() 再比对权限表，否则匹配永远失败。
