JWT中间件已从Echo v4核心移除，必须使用独立包github.com/labstack/echo-jwt/v4；直接调用middleware.JWT会报错，因其在v4.10+的middleware包中不存在。
JWT中间件在 Echo 中不内置，必须用 echo-jwt/v4 独立包；直接调 e.Use(middleware.JWT(...)) 会报错——那是旧版 v3 或混淆了其他框架的写法。
为什么 middleware.JWT 找不到
从 Echo v4.10 起，JWT 中间件已从核心移除，官方明确要求使用独立维护的 github.com/labstack/echo-jwt/v4。你如果在 github.com/labstack/echo/v4/middleware 里搜 JWT，结果为空。
- 错误操作：执行
go get github.com/labstack/echo/v4后就以为 JWT 可用了 - 正确做法：额外运行
go get github.com/labstack/echo-jwt/v4 - v4 包不兼容 v3 的导入路径和函数签名，升级时必须改代码，不能只换 import
echojwt.Config 关键字段怎么设
最常出问题的是 TokenLookup 和 ContextKey ——它们决定 token 从哪来、解析后往 context 里塞哪、后续中间件怎么取。
Echo框架 5.1.0
下载
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
-
TokenLookup: "header:Authorization"（默认）→ 读Authorization: Bearer xxx -
TokenLookup: "query:token"→ 从 URL 查询参数如/api/user?token=xxx提取 -
ContextKey: "user"（默认）→ 后续用c.Get("user")取解析后的 claims，RBAC 中间件必须匹配这个 key -
SigningKey类型是interface{}，传[]byte("secret")或rsa.PrivateKey都行，但类型必须一致
JWT + RBAC 组合时中间件顺序不能错
JWT 中间件只负责解析 token 并写入 context；RBAC 中间件依赖它输出的用户角色。二者不是可选搭配，而是强先后依赖关系。
- 必须先注册
echojwt.WithConfig(jwtConfig)，再注册 RBAC 中间件 - 不能把 RBAC 放在全局
e.Use()之前，否则c.Get("user")是 nil，panic - 如果路由级又加了一层 auth 中间件（比如检查 API key），要确认它不覆盖
c.Set("user", ...) - 日志中间件建议放最外层（
e.Use(middleware.Logger())第一个），否则 401 请求不会被记录
WebSocket 接口不能用 e.Use() 加 JWT
WebSocket 升级握手阶段不在 Echo 的中间件生命周期内，e.Use() 对 /ws 路由完全无效；强行套用会导致连接失败或 panic。
- 必须写原生
http.HandlerFunc，从r.Header.Get("Authorization")或r.URL.Query().Get("token")提前鉴权 - 鉴权失败直接
http.Error(w, "Unauthorized", http.StatusUnauthorized)，绝不能调upgrader.Upgrade() - 成功后再调
upgrader.Upgrade()，此时c已失效，不能再用c.Get("user") - 挂载方式必须是
e.GET("/ws", echo.WrapHandler(yourHandler))，不是e.GET("/ws", func(c echo.Context) error {...})
真正容易被忽略的点是：JWT 中间件默认只校验签名和过期时间，不校验 aud、iss、nbf 等标准 claim；生产环境必须显式配置 Claims 并做验证，否则 token 可能被跨域重放或误用于其他服务。
