必须在前序认证中间件中用context.WithValue()或c.Set()将角色写入c.Request().Context()或echo.Context，后续权限中间件通过c.Get("roles")或类型断言从context取值校验，且权限中间件须置于认证中间件之后。
中间件里怎么拿到用户角色信息
角色权限判断的前提是中间件能访问到当前请求对应的角色数据。Echo 本身不提供用户认证或角色存储，所以必须在前序中间件（比如登录验证中间件）中把角色写入 c.Request().Context()，通常用 context.WithValue() 存到 key 下。
常见错误是直接在 handler 里查数据库再判断权限——这会让每个接口都重复查，且无法在中间件统一拦截。正确做法是：登录成功后查一次角色，存进 context；后续所有中间件和 handler 都从 context 取，避免重复 IO。
- 推荐用自定义类型做 context key，比如
type ctxKey string，避免字符串 key 冲突 - 存角色时建议用切片
[]string，方便后续做Contains判断，而不是单个字符串 - 别把完整用户模型塞进 context，只放必要字段（如
role、permissions），减少内存开销
用 echo.MiddlewareFunc 写权限校验中间件
权限中间件本质是一个 echo.MiddlewareFunc，接收 echo.Context，检查角色是否满足当前路由所需权限，不满足就直接 c.NoContent(http.StatusForbidden) 或返回错误 JSON。
注意：Echo 的中间件执行顺序由 echo.Use() 和 group.Use() 决定，权限中间件必须放在认证中间件之后，否则 context 里没有角色数据，会 panic 或静默放行。
- 校验逻辑建议封装成独立函数，比如
hasRole(c echo.Context, requiredRoles ...string) bool，便于测试和复用 - 不要在中间件里调用
c.Next()后再检查权限——那已经执行完 handler，拦截失效 - 如果需要基于 RBAC 细粒度控制（如 “article:write”），建议把权限字符串存进 context，而非仅角色名，避免角色表频繁关联查询
示例片段：
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
func RoleMiddleware(requiredRoles ...string) echo.MiddlewareFunc {
return func(next echo.Handler) echo.Handler {
return echo.HandlerFunc(func(c echo.Context) error {
roles := c.Get("roles") // 假设前面中间件已存入
if roles == nil {
return c.NoContent(http.StatusForbidden)
}
roleList, ok := roles.([]string)
if !ok {
return c.NoContent(http.StatusForbidden)
}
for _, r := range requiredRoles {
if contains(roleList, r) {
return next.ServeHTTP(c.Response(), c.Request())
}
}
return c.NoContent(http.StatusForbidden)
})
}
}
路由分组 + 中间件组合怎么配才不漏权限
Echo 路由分组（echo.Group）是组织权限最自然的方式。比如 /admin/* 全部走 RoleMiddleware("admin")，而 /api/articles 可能需要 "editor" 或 "author"。
容易踩的坑是：给 group 加了中间件，但子路由用 GET/POST 直接注册在 root 上，绕过了 group 中间件。或者用了 e.File()、e.Static() 这类快捷方法，它们不经过中间件链。
- 静态资源路径（如
/public）务必显式排除，或单独配置不带权限中间件的 group - API 版本路径如
/v1/admin，建议先分v1 := e.Group("/v1")，再admin := v1.Group("/admin", RoleMiddleware("admin"))，层次清晰 - 某些接口需多角色任一满足（OR），某些需全部满足（AND），中间件参数设计要支持两种模式，别硬编码成固定逻辑
为什么 c.Get() 取不到角色？调试要点
最常见报错是 panic: interface conversion: interface {} is nil, not []string，根本原因是前序中间件没成功写入 context，或 key 名不一致。
调试时优先确认三点：当前请求是否经过认证中间件、认证中间件是否真的调用了 c.Set("roles", roles)、权限中间件读的 key 是否和写的完全一致（大小写、冒号、空格）。
-
c.Set()和c.Get()是 Echo 自带的 context 存取，比原生context.WithValue()更安全，推荐优先使用 - 如果用原生 context，必须确保传入的是
c.Request().Context()的衍生 context，而不是新建一个 - 开发期可在权限中间件开头加日志：
log.Printf("roles: %+v", c.Get("roles"))，快速定位空值来源
复杂点在于微服务场景下，角色可能来自下游服务或 JWT claim，这时候中间件得处理超时、降级、缓存，不能简单同步阻塞等待。
