Iris v12+ 已移除 iris.Controller，所谓 MVC 是社区约定而非框架强制；登录逻辑应使用普通 struct + 依赖注入，手动处理会话、bcrypt 校验密码、重定向及 session 配置，避免编译错误与状态丢失。
为什么 Iris 的 Controller 不能直接用 iris.Controller 做登录逻辑
因为 Iris v12+ 已移除内置的 iris.Controller 类型，所谓“MVC”在 Iris 中是社区约定 + 手动组织，并非框架强制抽象。强行套用旧教程里的 BaseController 或继承空结构体，会导致依赖混淆、中间件无法注入、ctx 获取不一致等问题。
真实可行的做法是：用普通 struct 封装业务逻辑，靠依赖注入（如 iris.Application.RegisterDependency）传递 iris.Context 或服务实例，登录流程中尤其要注意会话、密码校验、重定向这几环必须手动衔接。
- 不要定义
type LoginController struct{ iris.Controller }—— 编译报错且无意义 - 登录接口必须显式调用
ctx.Session().Set("user_id", userID)，Iris 不自动维护登录态 -
ctx.PostForm("password")拿到的是明文，务必用golang.org/x/crypto/bcrypt校验，别用==
如何正确注册登录路由并绑定表单解析
Iris 的表单绑定不像 Gin 那样有 ShouldBind，它默认不自动解析 POST body，必须手动调用 ctx.PostForm 或用 ctx.ReadForm 绑定到结构体——但后者要求字段名与表单 key 完全匹配且支持 tag（如 form:"username"）。
常见错误是直接写 ctx.FormValue("username") 却忘了调用 ctx.Request().ParseForm()，导致始终返回空字符串；更稳妥的方式是统一用 ctx.PostForm，它内部已处理解析。
- 路由注册用
app.Post("/login", loginHandler)，别漏掉Post方法限定 - 表单字段名必须小写一致：
<input name="username">对应ctx.PostForm("username") - 若用
ctx.ReadForm(&loginReq)，结构体字段需导出且加 tag：Username string `form:"username"` - 密码字段禁止记录日志：
log.Printf("login attempt: %s", username)可以，但绝不能打password
登录成功后跳转丢失 session 的典型原因
最常踩的坑是：登录写入了 session，但重定向后 ctx.Session().Get("user_id") 返回 nil。根本原因是没配置 session 存储驱动或 cookie 设置不兼容。
Iris 默认使用内存存储 session，但重启服务后全丢；生产环境必须显式注册持久化驱动（如 Redis），同时确保 cookie 的 Secure 和 SameSite 设置匹配前端请求来源（比如 Vue 开发服务器是 http://localhost:5173，则 SameSite 至少设为 Lax）。
- 启用 session 必须调用
iris.Sessions(iris.SessionsConfig{Cookie: "my_session"}) - 若前端跨域请求登录，需额外设
CookieHTTPOnly: false并配合 CORS 允许凭证 - 重定向用
ctx.Redirect("/", iris.StatusFound)，别用302字面量，避免误写成301 - 调试时可用
ctx.Session().ID()打印 session ID，确认前后请求是否复用同一 session
如何安全地校验密码并防止暴力破解
单纯比对哈希值还不够。Iris 本身不提供登录失败计数或锁账号机制，这些必须自己实现。推荐在用户模型层封装 CheckPassword 方法，内部调用 bcrypt.CompareHashAndPassword，并在失败时更新数据库中的 failed_login_attempts 字段。
注意 bcrypt 的 cost 参数别设太高（如 14 以上），否则单次校验超 200ms，容易被用作 DoS 攻击向量；开发环境用 10，生产可升到 12。
- 永远用
bcrypt.GenerateFromPassword(pwd, 10)生成哈希，别用 MD5/SHA 等快哈希 - 登录失败三次后，可返回
iris.StatusTooManyRequests并暂停 1 分钟，避免爆破 - 密码重置链接必须带签名 token（如
jwt.NewWithClaims），且 15 分钟过期 - 登录成功后立即调用
ctx.Session().Destroy()再Set新 session，防止 session fixation
ctx 去干活。 
