jwt.ParseWithClaims解析失败主因是密钥不一致或claims类型/字段标签不匹配；RefreshToken应哈希后存库并及时清理；Gin中须用Context传递用户身份；RS256比HS256更利于纵深防御。
jwt.ParseWithClaims 解析失败的常见原因
直接调用 jwt.ParseWithClaims 却返回 token is invalid 或 signature is invalid，八成不是算法写错，而是密钥或 claims 类型不匹配。
- 密钥必须完全一致：生成时用
[]byte("my-secret")，验证时也得传同一个字节切片，不能是"my-secret"字符串（Go 中 string 和 []byte 不可互换） - claims 结构体字段标签要和 token payload 严格对应，比如 payload 里是
"user_id"，结构体字段就得写UserID uint `json:"user_id"`，漏掉json:标签或拼写错误都会导致解析后字段为空 - 如果用了
jwt.MapClaims，验证时也得用*jwt.MapClaims做目标参数，不能混用自定义结构体 - 时间校验失败常被忽略：
exp、nbf等字段必须是 Unix 时间戳（int64），且服务器时间需和客户端基本同步，差太多会直接拒绝
RefreshToken 该不该存数据库？
“刷新令牌要不要持久化”不是二选一问题，而是取决于你接受哪类风险——短生命周期的 RefreshToken 可以不存库，但必须配合强校验逻辑。
- 不存库的方案：RefreshToken 本身带签名 + 过期时间（如 7 天），服务端只验证签名和时间，不查 DB；适合低敏感场景，省了存储开销，但无法主动废止
- 存库的方案：把 RefreshToken 的哈希值（如
sha256(token)）和绑定的 UserID、过期时间、是否已使用写入 DB；每次刷新前先查是否存在且未使用，用完立即标记为已使用；这是生产环境推荐做法 - 别直接存明文 RefreshToken：哪怕只存一次，泄露就等于用户长期凭证失守；哈希后加盐（如 UserID + 随机 salt）更稳妥
- 注意清理策略：DB 中过期或已使用的 RefreshToken 要定期清理，否则表膨胀快，尤其高频登录场景
Gin 中间件里怎么安全传递用户身份
中间件解析完 Token 后，不能靠全局变量或 map 存用户 ID，必须走 c.Request.Context() 注入，否则并发下会串数据。
Alibabacloud Sdk Client Initialization For Golang
下载
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
- 正确姿势：用
c.Set("user_id", claims.UserID)或更推荐c.Request = c.Request.WithContext(context.WithValue(c.Request.Context(), "user_id", claims.UserID)) - 后续 handler 里取值必须用
c.MustGet("user_id")或从 context 取，避免 panic；不要依赖c.GetString("user_id")，它对非字符串类型会静默失败 - 别在中间件里直接修改
c.Keys：Gin 的c.Keys是 map[string]interface{}，无类型约束，容易被其他中间件覆盖或误读 - 如果用了自定义 claims 结构体，建议封装一个
GetUserFromContext(c *gin.Context) (*Claims, bool)工具函数，统一做类型断言和空值检查
HS256 和 RS256 在刷新逻辑里的实际差异
选签名算法不只看“更安全”，要看整个刷新流程是否可控。HS256 简单，但 RefreshToken 刷新时若仍用同一密钥，就等于没提升纵深防御能力。
立即学习“go语言免费学习笔记（深入）”；
- HS256：所有操作（登录签发、Access Token 验证、Refresh Token 验证）都用同一个密钥；优点是实现简单，缺点是一旦密钥泄露，所有历史 Token 都可伪造
- RS256：用私钥签发，公钥验证；可以给 RefreshToken 单独配一套密钥对（比如 RSA 私钥只在刷新接口可用），Access Token 用另一套；这样即使 Access Token 密钥泄露，也无法签发新 RefreshToken
- 刷新接口本身要更严：必须校验原始 RefreshToken 的绑定关系（如设备指纹、IP 段）、限制刷新频次（如 24 小时最多 3 次）、强制更新 RefreshToken（旧的立刻失效）
- v5 版本的
github.com/golang-jwt/jwt/v5对 RS256 支持更稳，ParseWithClaims的 keyFunc 返回值类型更明确，不容易因 interface{} 类型擦除出错
