闭包权限中间件必须在 handler 执行前返回错误，否则权限校验失效；需三步拒绝请求、路径标准化、context 类型安全 key、RBAC 预热内存、闭包封装规则且禁止 IO。
闭包权限中间件必须在 handler 执行前返回错误
权限校验失败却没立即终止请求，是线上最危险的疏漏。常见写法是在 handler 内部末尾做判断、或只写 w.WriteHeader(http.StatusForbidden) 却忘了 return，结果业务逻辑照常执行——数据库被删、消息被发、订单被创建，权限形同虚设。
- 中间件函数签名必须是
func(http.Handler) http.Handler，用闭包包裹原 handler - 所有判断必须放在
next.ServeHTTP()调用之前 - 拒绝时要三步到位：
w.WriteHeader(http.StatusForbidden)+w.Write([]byte{})+return - 静态资源路径（如
/public/js/admin.js）也必须过同一中间件，否则可被绕过
用 context 传身份，别在中间件里查 DB
每次请求都跑一次 db.QueryRow("SELECT role FROM users WHERE id = ?")，QPS 上百就卡死。权限中间件不是认证环节，它只负责“查表放行”，不该承担解析 token 或查库的职责。
- 上游认证中间件（如 JWT 解析）应把
userID和roles注入context.Context - 权限中间件只从
ctx.Value(userKey)取值，userKey必须是自定义类型，禁止用字符串字面量当 key - RABC 映射表应预热到内存，结构推荐
map[string]map[string]bool，键为"resource:action"格式（如"user:delete"） - 预热时机放在
main()启动时，用 goroutine + channel 加载，避免阻塞服务启动
路径标准化是权限匹配的前提
r.URL.Path 是原始路径，不处理路由变量，也不归一化尾斜杠。直接拿 /api/users/123 去查权限配置，会漏掉 /api/users/123/ 或 /api/users/{id} 这类模板路径。
- Gin 用户用
c.FullPath()，chi 用户用chi.RouteContext(r).RoutePattern()获取带占位符的路径 - 正则替换
/:([^/]+)→/{\1}，统一转成/api/users/{id}格式再查权限表 - 禁止模糊匹配：
strings.HasPrefix(r.URL.Path, "/api/admin")会把/api/admin_log也放过 - 路径匹配必须严格，
/admin和/admin/应视为不同资源，或提前 normalize
闭包封装权限规则，避免硬编码角色判断
把 if user.Role != "admin" 写死在 handler 里，等于把权限逻辑和业务耦合死。闭包的价值在于把规则内聚、状态私有、行为可复用——比如一个 canDeleteUser 闭包，内部可嵌入多层判断：角色是否为 admin、目标用户是否非超级管理员、当前时间是否在维护窗口外。
立即学习“go语言免费学习笔记（深入）”；
- 闭包捕获的变量（如
rbacMap、allowList）生命周期由 Go 运行时管理，安全可靠 - 工厂函数如
makePermissionChecker("user", "delete")返回闭包，支持按需生成细粒度检查器 - 闭包内可调用其他函数（如
isWithinTimeWindow()），但不得触发 IO 或 DB 查询 - 调试时注意：闭包无法序列化，日志中打印闭包变量会显示
0x...地址，需显式暴露状态字段
ctx.Value("user_id") 返回 nil，而 ctx.Value(userKey) 才真正命中。 
