最直接方式是写前置中间件，在ctx.Next()前校验，不满足则设状态码、写响应体并立即调用ctx.StopExecution()，否则可能触发多次响应panic。
怎么用中间件拦截非法请求并提前终止
最直接的方式是写一个前置中间件，在 ctx.Next() 前做校验，不满足条件就立刻调用 ctx.StatusCode() + ctx.WriteString() 或 ctx.JSON()，然后必须跟 ctx.StopExecution()。Iris 不会自动阻止后续 handler 执行，漏掉 StopExecution 就可能写出两次响应，触发 http: superfluous response.WriteHeader panic。
- 校验逻辑可放中间件里：比如检查
ctx.GetHeader("Authorization")是否为空、ctx.Method()是否在白名单中、ctx.Path()是否匹配敏感路径前缀（如/admin） - 状态码要显式设：比如非法 token 返回
ctx.StatusCode(iris.StatusUnauthorized)，未登录返回iris.StatusForbidden，路径不存在但想隐藏细节可统一返回iris.StatusNotFound - 不要只写状态码：HTTP 状态码本身不带响应体，浏览器或客户端可能收不到提示。建议搭配
ctx.JSON(iris.Map{"code": 401, "message": "invalid token"})或ctx.WriteString("Unauthorized") - 注意执行顺序：中间件注册位置决定拦截范围。全局拦截用
app.Use()；仅 API 组用api := app.Party("/api"); api.Use(authMiddleware)
怎么在路由层拦截非法 path 参数（比如非数字 ID）
靠路径宏类型声明就能做到，不用进 handler 再判断。例如 /{id:uint64} 这种写法会让 /users/abc 直接 404，根本不会触发你的 GetByID 方法；而写成 /{id} 则 id 永远是 0，后端还得手动校验——这已经晚了，浪费资源还暴露逻辑。
- 常用宏类型：
{id:uint64}、{slug:string}、{year:int}，Iris 会按类型尝试解析，失败即跳过该路由匹配 - 多个参数组合没问题：
/posts/{year:int}/{month:uint8}/{slug:string}，任意一个不满足，整条路由不命中 - 注意宏类型不校验业务规则：比如
{id:uint64}能拦住abc，但拦不住0或超大值（如18446744073709551615），这些得在 handler 里查 DB 或做范围判断 - 子路径通配要用
{path:path}，但它必须放在末尾，且不参与类型校验——它只负责“吃掉剩余路径”，校验仍需你自己写
OPTIONS 预检请求被拒？其实是没真正拦截到
前端发 CORS 请求时，浏览器先发 OPTIONS，如果这个请求没被路由表捕获，中间件根本不会运行。所以光写个 “if method == OPTIONS” 的中间件没用，必须先确保 OPTIONS 路由存在。
- 全局预检处理：
app.Options("*", func(ctx iris.Context) { ctx.StatusCode(iris.StatusNoContent) })，这是最简方案 - 按路径粒度控制：
api.Options("/users/{id:uint64}", handleOptions)，适合需要动态鉴权的场景 - 别依赖中间件自动触发：Iris 的路由匹配是硬规则，没注册 OPTIONS 路径，请求连上下文都拿不到，更别说中间件了
- 响应头要全：
Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers都得显式写，缺一不可，否则预检失败
为什么 ctx.StopExecution() 容易被忽略
因为 Go 里没有强制约束，Iris 也不报错。但 HTTP 协议规定一个响应只能写一次状态码和 body。一旦 handler 里先 ctx.JSON() 又 ctx.Redirect()，或者中间件写了响应又放行到下一个 handler，底层 net/http 就会 panic，日志里出现 http: multiple response.WriteHeader calls。
- 所有提前终止场景都要加：
ctx.StopExecution()是明确告诉 Iris “别再往下跑了”，不是可选项 - 重定向也一样：
ctx.Redirect("/login"); ctx.StopExecution()必须成对出现 - 如果你封装了通用错误响应函数，里面就得包含
StopExecution，否则调用方很容易漏 - 真正在意稳定性的服务，建议在所有中间件结尾加一行
if ctx.Response().Wrote() { return }做兜底，避免误操作
