Beego中处理登录请求需显式注册POST /login路由，控制器Post方法内用ParseForm()解析表单或ReadJSON()解析JSON，不可直接GetString()；密码校验须用bcrypt.CompareHashAndPassword()，Session应配置redis存储并启用Secure/HttpOnly。
Beego 中如何处理登录请求的路由和控制器
Beego 默认用 POST /login 这类路径接收登录数据，但你得显式注册——它不会自动绑定表单或 JSON。控制器里必须手动调用 this.ParseForm() 或 this.ReadJSON()，否则 this.Input().Get("username") 一定为空。
常见错误是直接写 this.GetString("username") 却没指定方法，结果返回空字符串还无报错。实际要用：
func (c *LoginController) Post() {
var username string
var password string
if err := c.ParseForm(&username, &password); err != nil {
c.Data["json"] = map[string]interface{}{"success": false, "msg": "解析表单失败"}
c.ServeJSON()
return
}
// 后续校验逻辑...
}- 表单提交必须用
c.ParseForm()，JSON 提交必须用c.ReadJSON() -
GetString()只适用于 URL 查询参数（?username=xxx），不读 POST body - Beego 1.12+ 默认关闭
CopyRequestBody，若要多次读取 body（比如日志 + 解析），需在app.conf加copyrequestbody = true
Beego 中验证用户密码该用哪个函数
Beego 自身不提供密码哈希工具，别用 strings.EqualFold() 或直接 == 比对明文——这等于没设防。必须用标准库 golang.org/x/crypto/bcrypt，且始终用 bcrypt.CompareHashAndPassword() 校验，而不是先解哈希再比对。
容易踩的坑：有人把用户输入的密码用 bcrypt.GenerateFromPassword() 再去比对数据库存的哈希值，这会导致每次生成新哈希，永远不等。
- 数据库应只存哈希值（如
$2a$10$...开头），不是明文也不是 base64 - 校验时传入的是「数据库查出的完整哈希字符串」和「用户提交的原始密码」
- 别自己实现盐值拼接，
bcrypt已内置
Beego Session 在登录成功后怎么安全设置
Beego 的 session 默认用文件存储，开发时没问题，但上线必须切到 redis 或 memcache，否则多实例部署时会话丢失。登录成功后不能只写 c.SetSession("uid", 123) 就完事——得确认 session 是否真正写入且带 Secure/HttpOnly 标志。
关键配置项在 app.conf：
sessionon = true sessionprovider = "redis" sessionproviderconfig = "127.0.0.1:6379,0,abc123" sessiongcmaxlifetime = 3600 cookiesecure = true # HTTPS 环境下必须开 cookiemaxage = 3600 cookiehttponly = true
-
cookiesecure = true在 HTTP 环境下会导致 Set-Cookie 不生效，本地调试记得关掉 - 调用
c.DestroySession()不会立即删 redis 数据，只是清客户端 cookie；下次请求进来才触发 GC 清理 - 不要把敏感信息（如密码、token）塞进 session，只放 uid 或角色标识
Beego 登录接口如何防止暴力破解
Beego 没内置限流中间件，靠自己加逻辑。最简方案是用 redis 记录 IP 的失败次数 + 时间戳，超过阈值就返回 429。注意别用内存 map 存，那在多进程下完全失效。
示例逻辑片段（需提前注入 redis client）：
key := "login:fail:" + c.ClientIP()
cnt, _ := redisClient.Incr(key).Result()
if cnt == 1 {
redisClient.Expire(key, time.Minute * 10)
}
if cnt > 5 {
c.Data["json"] = map[string]interface{}{"success": false, "msg": "尝试过于频繁，请稍后再试"}
c.ServeJSON()
return
}- IP 可被代理伪造，生产环境建议结合用户账号维度（
login:fail:user:xxx）做双重限制 - 别在失败时返回“用户名不存在”或“密码错误”，统一说“账号或密码不正确”，避免泄露信息
- Beego 的
Prepare()方法适合放这类前置检查，但要注意它对所有 HTTP 方法都触发，得先判断c.Ctx.Input.Method == "POST"
Session 和密码校验这两块最容易漏掉安全细节，尤其是本地测试能过、一上生产就出问题——比如 cookiesecure 开着但 Nginx 没配 X-Forwarded-Proto，导致登录后立刻掉 session。
