Go鉴权中心首选net/http HandlerFunc链式中间件，配合自定义结构体封装；核心三步：解析token（jwt-go v3.2.x）、校验签名/过期/权限、注入context用户上下文，避免框架耦合与全局变量。
鉴权中心该用什么模块做中间件
Go 生态里最常用、最轻量、也最可控的鉴权中间件是 net/http 自带的 HandlerFunc 链式处理，配合自定义结构体封装逻辑。别一上来就引入 gorilla/mux 或 gin —— 它们自带中间件机制看似省事，但会把鉴权逻辑和路由强耦合，后期想抽离成独立服务时反而要重写路由层。
真正需要的是一个可复用、无框架依赖、能独立部署的 HTTP handler 模块。核心就三件事：解析 token、校验签名/过期/权限、注入用户上下文。推荐用 golang.org/x/net/context（Go 1.7+ 原生 context）传用户信息，别用全局变量或 map 存 session。
-
jwt-go（v3.2.x）做 token 解析，注意 v4+ 已弃用，签名验证必须显式调用Token.Valid()，否则不校验过期时间 - 权限检查不要硬编码 role 字符串，用
map[string]bool或位运算（如const Admin = 1 ）更易扩展 - 如果要用 Redis 缓存黑名单 token，用
redis-go的Get+ErrNil判断，别依赖Exists——它在集群模式下语义不一致
如何让鉴权模块支持多种 token 来源
生产环境不会只认 Bearer Token。前端可能走 Cookie（Authorization header 缺失时 fallback），gRPC 调用可能带 metadata，内部服务直连还可能走 query 参数（比如 ?token=xxx）。统一鉴权模块得把提取逻辑收口到一个函数里，而不是在每个 handler 里重复写 if-else。
推荐写一个 extractToken 函数，按优先级顺序尝试：
立即学习“go语言免费学习笔记（深入）”；
- Header
Authorization：正则匹配^Bearer\s+(\S+)$，别用strings.Split——空格多时会出错 - Cookie 名为
auth_token：用r.Cookie("auth_token")，注意http.SameSiteLaxMode对跨站请求的影响 - Query 参数
token：仅限内网调试，上线前必须配置开关关闭
所有路径都走同一套提取逻辑，后续校验才不会漏掉某类请求。
为什么不能把用户信息塞进 http.Request.URL.Query()
常见错误：鉴权通过后，把 userID、role 拼进原始 URL 的 query string，再 http.Redirect 或 http.ServeHTTP 给下游。这等于把敏感字段暴露在 access log、代理缓存、CDN 日志里，且无法控制有效期。
正确做法是用 context.WithValue 注入结构体：
type AuthContext struct {
UserID int64
Role string
ExpireAt time.Time
}
ctx := context.WithValue(r.Context(), authKey, &AuthContext{...})
r = r.WithContext(ctx)
下游 handler 用 authCtx := r.Context().Value(authKey).(*AuthContext) 取值。key 必须是私有变量（如 var authKey = struct{}{}），避免和其他模块 key 冲突。
怎么测试鉴权模块是否真生效
光跑单元测试不够。真实陷阱在边界场景：token 过期但没被拒绝、refresh token 和 access token 混用、大小写敏感的权限字段（"admin" vs "Admin"）、空字符串 role 导致权限绕过。
- 用
httptest.NewServer启一个带鉴权中间件的 test server，手动构造各种非法请求：过期 JWT、伪造 signature、缺失 kid header、role 字段为""或"null" - 测试时关掉日志输出（
log.SetOutput(io.Discard)），避免干扰断言；用assert.Equal(t, http.StatusUnauthorized, resp.StatusCode)而不是只看 body - 特别验证“鉴权失败时是否中断后续 handler”——在中间件后加个
fmt.Println("unreachable")，确保它真没执行
模块越薄，越容易测；一旦掺了 ORM 或 config 加载逻辑，测试就会变成集成测试，掩盖鉴权本身的缺陷。
