ctx.BodyParser() 解析失败导致 400，主因是 Fiber 未启用 JSON 解析中间件、结构体缺少 json tag、Content-Type 头缺失或 body 被提前读取。
为什么 ctx.BodyParser() 会解析失败导致登录 400？
多数人卡在第一步：前端发了 {"username":"a","password":"b"}，后端却收不到字段。Fiber 默认不自动解析 JSON body，必须显式启用 BodyParser 中间件或手动调用 ctx.BodyParser() —— 但更常见的是结构体字段没加 JSON tag，导致解析后字段为空。
实操建议：
- 定义登录结构体时，每个字段必须带
json:"username"这类 tag，否则ctx.BodyParser()无法映射 - 确保请求 header 包含
Content-Type: application/json，否则 Fiber 不触发 JSON 解析逻辑 - 不要在解析前调用
ctx.Body()或ctx.FormValue()，它们会提前读取并耗尽 body 流，导致后续BodyParser()返回空对象
示例结构体：
type LoginReq struct {
Username string `json:"username"`
Password string `json:"password"`
}如何安全校验密码而不硬编码明文比对？
直接写 if req.Password == "123456" 是典型错误。真实场景必须用哈希比对，且不能自己实现加密逻辑。
实操建议：
- 用
golang.org/x/crypto/bcrypt处理密码 —— Fiber 本身不提供密码工具，这是 Go 生态标准方案 - 注册时用
bcrypt.GenerateFromPassword()存哈希值；登录时用bcrypt.CompareHashAndPassword()校验，它自带防时序攻击 - 别把密码字段记录到日志（比如
log.Printf("%+v", req)），避免敏感信息泄露
校验片段示例：
err := bcrypt.CompareHashAndPassword(storedHash, []byte(req.Password))
if err != nil {
ctx.Status(401).SendString("用户名或密码错误")
return
}登录成功后怎么发 JWT 并设 HTTP-only Cookie？
Fiber 自带 jwt.New() 和 ctx.Cookie()，但组合使用时容易漏掉关键参数，导致 token 无法被前端自动携带或被 XSS 窃取。
实操建议：
- 生成 token 用
jwt.New(jwt.SigningMethodHS256)，密钥必须是环境变量读取的强随机字符串，别写死"secret" - 写 Cookie 时务必设置
HTTPOnly: true、Secure: true（HTTPS 环境下）、SameSite: fiber.CookieSameSiteStrictMode或Lax - 不要把 token 放在响应 body 里返回给前端（除非明确需要），Cookie 已足够；若需返回，也别再暴露原始 token 字符串
Cookie 设置示例：
cookie := fiber.Cookie{
Name: "auth_token",
Value: tokenString,
HTTPOnly: true,
Secure: true,
SameSite: fiber.CookieSameSiteLaxMode,
MaxAge: 3600,
}
ctx.Cookie(&cookie)为什么登录接口上线后总被暴力破解？
没加限流的登录接口，几秒内就能被脚本扫光弱口令用户。Fiber 的 fiber.New() 默认不限流，得靠中间件补上。
实操建议：
- 用
github.com/gofiber/fiber/v2/middleware/limiter，按 IP 限制每分钟最多 5 次登录请求 - 失败次数达到阈值后，可结合 Redis 记录临时封禁（如 15 分钟），但注意别让 Redis 故障拖垮整个登录流程
- 返回错误时统一用
401 Unauthorized，别区分“用户不存在”和“密码错误”，防止用户名枚举
简单限流配置：
app.Post("/login", limiter.New(limiter.Config{
Max: 5,
Expires: 1 * time.Minute,
KeyGenerator: func(c *fiber.Ctx) string {
return c.IP()
},
}), loginHandler)Fiber 实现登录不是拼凑几个函数，关键是每个环节的防御点是否闭环：body 解析的严谨性、密码校验的不可逆性、token 分发的安全属性、以及入口层的抗爆破能力。少一个，线上就可能出事。
