因前端发送JSON（Content-Type: application/json），而ctx.FormValue仅解析表单数据；需用ctx.BodyParser或ctx.Body配合json.Unmarshal解析，且结构体字段须加json标签。
为什么直接用 ctx.FormValue 拿不到登录参数
很多新手一上来就写 username := ctx.FormValue("username")，结果始终为空——因为前端发的是 JSON（Content-Type: application/json），不是表单数据。Fiber 默认不自动解析 JSON body，必须显式调用 ctx.Body() 或绑定结构体。
- 若前端用
fetch或 Axios 发POST /login且带JSON.stringify({username:"a",password:"b"})，后端必须用ctx.Body()读原始字节，再用json.Unmarshal解析 - 更稳妥的做法是定义结构体 +
ctx.BodyParser(&loginReq)，它会自动处理 JSON、URL-encoded、Multipart 三种常见格式（取决于请求头） - 注意：如果结构体字段没加
json:"username"标签，反序列化会失败，字段保持零值
如何安全校验密码并生成 JWT Token
登录接口的核心不是“收到就放行”，而是验证 + 签发。别手写 if username=="admin" && password=="123" —— 密码必须哈希比对，Token 必须签名防篡改。
- 用
golang.org/x/crypto/bcrypt的bcrypt.CompareHashAndPassword校验，而不是明文比对 - JWT 推荐用
github.com/gofiber/jwt/v3（官方维护）或轻量级github.com/golang-jwt/jwt/v5；Fiber v2.40+ 自带fiber.JWT中间件，但签发仍需手动调用jwt.NewWithClaims - Token payload 至少包含
user_id和过期时间exp，别塞敏感字段（如密码哈希、邮箱验证码） - 密钥（
secret）绝不能硬编码，应从环境变量读取：os.Getenv("JWT_SECRET")
返回响应时怎么避免暴露过多信息
登录失败时返回 "用户名或密码错误" 是 OK 的，但返回 "用户不存在" 或 "密码错误" 分开提示，等于帮攻击者做账号枚举。
- 统一返回
{"success": false, "message": "登录失败"}，日志里记详细原因（如user not found）供排查 - 成功响应中，Token 放在 HTTP Header（
Authorization: Bearer xxx）比放 body 更标准；若必须放 body，字段名用token，别用jwt或access_token这种易被扫描的关键词 - 设置
ctx.Status(200).JSON()，别漏掉Status—— Fiber 默认状态是 200，但显式声明更可控，尤其后续加中间件可能影响状态码
为什么登录接口要加速率限制和 IP 绑定
一个没防护的 /login 是爆破入口。Fiber 自带 fiber.Limiter，但默认只按 IP 限流，不够防撞库。
- 基础防护：用
fiber.NewLimiter(fiber.NewRateLimiter(fiber.RateLimiterConfig{Max: 5, Period: 60 * time.Second}))限制每 IP 每分钟最多 5 次 - 进阶做法：登录失败 3 次后，要求输入图形验证码（CAPTCHA），或临时锁定该账号 15 分钟（记录在 Redis 中）
- 敏感操作（如修改密码、重置邮箱）才需要 IP 绑定 Token，普通登录不必强绑——移动端 IP 经常变，反而伤体验
- 注意：Limiter 中间件要放在路由注册时 最前面，否则鉴权逻辑可能先执行，绕过限流
实际部署时，最容易被忽略的是密钥轮换和 Token 黑名单。JWT 一旦签发就无法主动作废，所以密码重置后，得把旧 Token 加入 Redis 黑名单，并在鉴权中间件里检查 ctx.Get("Authorization") 是否在黑名单中。
