echo.Use()不能直接套JWT鉴权中间件，因其为全局中间件会拦截/login等接口导致401；正确做法是路由分组控制，公共路由不挂鉴权，受保护路由用Group().Use()；中间件需跳过OPTIONS、手动解析Bearer token、校验后存用户信息；双Token需独立refresh接口、服务端吊销及指纹绑定；CORS配置禁用AllowCredentials:true以兼容Authorization头。
为什么 echo.Use() 不能直接套 JWT 鉴权中间件
因为 echo.Use() 是全局中间件，会拦截所有请求（包括 /login、/public/*），一旦你在里面调用 c.Bind() 或校验 Authorization header，未登录用户访问登录接口就会 401。更隐蔽的问题是：echo 的 c.Bind() 默认不检查 struct tag（比如 json:"username" required），漏掉 required 声明会导致空用户名也能过校验。
正确做法是按路由分组控制：
- 公共路由（如
/auth/login、/health）走独立 group，不挂鉴权中间件 - 受保护路由（如
/api/v1/users）统一用apiGroup := e.Group("/api/v1")，再apiGroup.Use(JWTMiddleware) - 中间件内部必须显式跳过 OPTIONS 请求（CORS 预检），否则预检失败导致跨域请求被拦
JWTMiddleware 里怎么安全解析和校验 token
echo 不像 Gin 那样内置 Abort()/Next() 显式控制流程，得靠 return + c.NoContent(401) 主动终止。关键点有三个：
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- 从
c.Request().Header.Get("Authorization")取值，手动切掉"Bearer "前缀，别依赖第三方库自动解析——某些版本会静默失败 - 用
jwt.ParseWithClaims(tokenStr, &Claims{}, func(t *jwt.Token) (interface{}, error) { ... })，密钥必须严格匹配签发时用的（推荐从环境变量读，别硬编码） - 校验完立刻把用户 ID 或角色塞进
c.Set("user_id", claims.UserID)，后续 handler 用c.Get("user_id")拿，别重复解析 token
如何支持双 Token（access + refresh）刷新逻辑
echo 本身不提供 refresh endpoint，得自己写一个 /auth/refresh 路由，并确保它只在 auth group 下、且不经过主鉴权中间件。常见坑点：
- refresh 接口必须验证旧
refresh_token的存在性、有效期、是否被吊销（查 Redis 或 DB），不能只校验签名 - 新生成的
access_token必须用不同密钥或不同aud字段隔离，避免用 access 密钥去验 refresh token - 前端调 refresh 成功后，要原子性地更新本地存储的两个 token；后端在签发新 access token 时，应主动作废旧 refresh token（比如 Redis key 加上 user_id+device_fingerprint 后缀）
前端带 token 时，echo 怎么处理 CORS 和 credentials
前后端分离下，浏览器默认不带 Cookie，但会传 Authorization header。所以后端只需配 CORS 允许 header，**不用开 credentials: true**：
- echo 中用
e.Use(middleware.CORSWithConfig(middleware.CORSConfig{AllowHeaders: []string{"Authorization", "Content-Type"}})) - 千万别加
AllowCredentials: true，否则浏览器会拒绝发送 Authorization（CORS 规范限制） - 如果前端用了 Axios，确保没设
withCredentials: true；Vue Router 守卫里取 token 时，优先用localStorage.getItem("access_token")，别混用 sessionStorage
