必须使用beego.BeforeStatic拦截静态资源请求，因/static路径绕过路由匹配，beforerouter等过滤器不触发；参数需手动从URL解析，权限校验应缓存避免数据库查询。
Beego中间件注册位置选错会导致权限失效
静态资源路径（如 /static/ 下的文件）根本不会走路由匹配，beforerouter 和 beforeexec 过滤器完全不触发。你写在 init() 里、逻辑再严谨也没用。
必须用 beego.BeforeStatic —— 这是唯一能拦截 /static/users/:id/private/* 这类路径的过滤点。其他位置注册的权限校验，对静态请求来说等于没写。
- 正则路径中参数名统一用
:id，避免:userId等变体导致匹配失败 - 路径末尾加
/*表示通配子路径，不加就只匹配到目录一级 - 匹配模式需与
beego.StaticDir配置的实际目录结构严格一致
权限校验过滤器里不能依赖控制器上下文
BeforeStatic 阶段的 ctx 对象尚未进入控制器流程，ctx.Input.Param(":id") 可能为空，也不能直接调用 ctx.Controller 或任何控制器方法。
必须手动从 URL 路径中提取参数：
path := ctx.Request.URL.Path
re := regexp.MustCompile(`/static/users/(\d+)/private/`)
matches := re.FindStringSubmatchIndex([]byte(path))
if len(matches) == 0 {
ctx.Abort(403, "Forbidden")
return
}
userID, _ := strconv.Atoi(string(path[matches[0][2]:matches[0][3]]))
- 别用
ctx.Input.Crued()——它在BeforeStatic不可用 - 会话读取要用
ctx.Input.Session.Get("user_id")，但需确认 session 已初始化（通常没问题） - 拒绝访问时用
ctx.Abort(403, "Forbidden")，不要返回空响应或 panic
RBAC权限判断要避开数据库实时查询
每次静态请求都查一次数据库，QPS 上去后会拖垮整个服务。尤其像 /static/users/123/private/report.pdf 这种高频小文件，延迟敏感。
推荐两级缓存策略：
- 第一层：Redis 缓存
user_id:resource_path→allowed:true/false，TTL 设为 5–10 分钟 - 第二层：本地内存缓存（如
sync.Map）存最近 1000 条判断结果，避免 Redis 网络开销 - 权限变更时主动清 Redis 缓存，不依赖过期，保证强一致性
注意：缓存 key 中的 resource_path 应标准化（如去除重复斜杠、小写化），否则相同路径因格式差异被当不同 key。
JWT token 校验不能放在 BeforeStatic 里做完整解析
JWT 验证本身开销不大，但如果你在 BeforeStatic 过滤器里调用 jwt.Parse() + 公钥解密 + 声明校验，每个静态请求都来一遍，CPU 使用率会明显升高。
更合理的做法是：只校验 token 是否存在且格式合法（比如检查 Header 是否含 Authorization: Bearer xxx，token 长度是否合理），把完整解析和权限映射放到主业务流程中。
- 静态资源权限应基于用户身份快照（如 session 中的 role_id）或预加载的权限列表，而非每次重解析 JWT
- 如果必须用 JWT 做动态权限，建议把解析结果存入 context 的
Data字段供后续复用，但BeforeStatic不支持写ctx.Data，所以只能退回到 session 或缓存 - 别在过滤器里做 JWT 刷新（refresh token 流程），这属于业务控制器职责
最易忽略的一点：BeforeStatic 过滤器里没有 ctx.Output 的完整能力，ctx.Output.SetStatus() 无效，必须用 ctx.Abort() 或直接写 ctx.ResponseWriter。写错会导致 HTTP 状态码始终是 200，前端看到的是空白页或损坏文件，而不是 403。
