必须用相同密钥立即解析并断言token.Valid==true；CustomClaims需内嵌RegisteredClaims；ExpiresAt须用jwt.NewNumericDate()；解析时传jwt.WithExpiration(true)；keyFunc需测nil、非法alg、短密钥等边界。
怎么写测试确保 JWT 签名生成正确
签名生成是否正确，不能只看 token.SignedString() 不报错——它可能返回一个语法合法但签名无效的 token。关键要验证：用同一密钥能成功解析且 token.Valid == true。
- 测试时必须用和生成时完全相同的密钥（
[]byte），不能传字符串字面量或长度不足 32 字节的密钥，否则SignedString()可能 panic 或静默失败 - 生成后立即调用
jwt.ParseWithClaims()解析，并断言token.Valid为true，而非仅检查err == nil - 若使用
CustomClaims结构体，必须内嵌jwt.RegisteredClaims，否则即使签名对，exp字段也不会被识别，后续过期校验失效 - 示例中别用
time.Now().Unix()直接赋值ExpiresAt，必须包装成jwt.NewNumericDate(t)，否则 v5 版本会忽略该字段
如何测过期时间校验是否真起作用
默认 jwt.ParseWithClaims() 完全不校验 exp、nbf、iat，哪怕 token 已过期也返回 token.Valid == true。测试必须显式启用并触发时间校验逻辑。
- 解析时必须传入
jwt.WithExpiration(true)（或jwt.WithValidate(true)），否则过期检查根本不会执行 - 测试过期场景，得把
ExpiresAt设为过去的时间点，例如jwt.NewNumericDate(time.Now().Add(-5 * time.Minute)) - 错误类型是
*jwt.ValidationError，需做类型断言，并检查ve.Errors & jwt.ValidationErrorExpired != 0，不能只依赖err != nil - 注意时区：所有时间操作建议统一用
time.Now().UTC()，避免本地时区导致测试在 CI 上偶然失败
keyFunc 测试最容易漏掉的三个坑
keyFunc 是签名验证的核心，但测试常忽略它的动态行为和边界条件。它不是“配个密钥就行”，而是运行时决策逻辑。
Alibabacloud Sdk Client Initialization For Golang
下载
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
- 必须测试
keyFunc返回nil的情况——这会导致签名跳过校验，token 被当作有效，极其危险；测试应确保它对非法alg（如"none"）或未知kid明确返回error - 测试算法匹配逻辑：当
token.Method不是*jwt.SigningMethodHMAC时，keyFunc应拒绝并返回 error，防止 alg 混淆攻击 - 密钥长度必须验证：HS256 要求至少 32 字节，测试中可故意传入短密钥（如
[]byte("short")），确认keyFunc返回 error 而非静默接受
为什么 token.Valid 为 false 却没报具体错误
token.Valid 是最终结果，但它不携带原因。很多测试只检查 err != nil 就断言失败，却漏掉 err == nil && token.Valid == false 这种更隐蔽的失败路径。
立即学习“go语言免费学习笔记（深入）”；
- 这种情况常见于：签名正确但
exp过期、aud不匹配、nbf尚未生效——它们都导致token.Valid == false，但err为nil - 必须在解析后额外加判断：
if !token.Valid { ... }，并结合token.Claims类型断言提取实际声明，确认是哪个字段触发了拒绝 - 比如
CustomClaims解析后，要手动检查claims.ExpiresAt.Time.Before(time.Now().UTC())是否成立，才能定位是过期而非其他问题
测试里最麻烦的其实是时间字段的类型安全和校验开关的组合状态——ExpiresAt 类型错、WithExpiration 没开、keyFunc 返回 nil，三者任意一个出错，都会让过期校验形同虚设，而表面看一切“正常”。
