应主动检查认证状态并显式返回：从Header或Cookie提取token或session，用jwt/v5校验exp/nbf，验证失败时调c.JSON(401, ...)并立即return；若依赖c.Get("user")，须确保前置认证中间件已调用c.Set("user", u)。
中间件里怎么判断用户没登录或权限不足
Echo 的中间件本质是 echo.MiddlewareFunc，接收 c echo.Context，你得在其中主动检查认证状态。常见做法是读取 cookie、header（如 Authorization）或 JWT token，再解析验证。别指望 Echo 自动帮你做鉴权——它只管流转请求，逻辑得你自己写。
典型错误是只校验 token 是否存在，不校验是否过期或签名是否有效，结果攻击者用一个旧 token 就能绕过。建议用 github.com/golang-jwt/jwt/v5 配合 time.Now().UTC() 显式校验 exp 和 nbf 字段。
- 从
c.Request().Header.Get("Authorization")提取 Bearer token，注意前缀截取要严谨（比如strings.TrimPrefix(auth, "Bearer ")） - 若用 session，检查
c.Get("user_id")是否为非零值（前提是前面中间件已 set 过） - 避免在中间件里直接调 DB 查权限——应提前把角色/权限缓存在 context 或 token claims 中
如何让未授权请求立刻返回 401 而不继续执行路由
关键就一个动作：c.NoContent(401) 或 c.JSON(401, map[string]string{"error": "unauthorized"})，然后必须紧跟 return。Echo 不会自动中断链式调用，漏掉 return 就会导致后续中间件和 handler 仍被执行。
常见坑是写了 c.String(401, "no") 却没 return，或者用了 c.Error()——它只是记录日志，不终止流程。
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
- 推荐统一用
c.JSON(401, echo.Map{"code": 401, "message": "Unauthorized"}) - 如果想复用错误响应结构，可封装成函数，但函数内部仍需显式
return - 不要在中间件里调
c.Next()后再检查权限——那是事后补救，请求已经进到业务逻辑了
怎样给特定路由组加权限中间件，而不是全局生效
用 e.Group("/admin") 创建子路由组，再把鉴权中间件作为第二个参数传入，比如 admin := e.Group("/admin", authMiddleware)。这样只有 /admin/xxx 路由受拦截，API 前端的 /public 或健康检查 /health 完全不受影响。
错误做法是把中间件挂到 e.Use() 然后在中间件里手动跳过某些路径——逻辑分散、难维护，还容易因路径匹配 bug 漏放请求。
- 支持多级嵌套：比如
v1 := e.Group("/api/v1")→adminV1 := v1.Group("/admin", requireRole("admin")) - 中间件函数名建议体现意图，如
requireAuth、requireRole("editor")，别叫checkAuth这种模糊名 - 如果要用不同策略（JWT vs API key），就写多个中间件函数，按需组合
为什么中间件里 c.Get("user") 总是 nil
因为 c.Get() 只能拿到之前中间件通过 c.Set() 存进去的值。如果你的认证中间件没调 c.Set("user", user)，下游就不可能读到。更隐蔽的问题是：多个中间件并发修改 context，但 Echo 的 context 是 request-scoped，不是全局共享，所以只要顺序对、set 了，就一定能 get 到。
调试时可在中间件开头打日志：log.Printf("user in ctx: %+v", c.Get("user"))，确认是不是 set 被跳过或拼写错误（比如存的是 "User"，取的是 "user"）。
- 确保认证中间件在权限中间件之前注册（顺序很重要）
- 避免在 goroutine 里调
c.Set()——context 不跨协程安全 - 如果用 JWT，把解析后的
*jwt.Token或用户结构体直接c.Set("user", u)，别只存 ID 再反复查库
return 和 c.Set() 的配对，少一个就会导致权限失控。 
