在 Go test 中模拟带 Authorization Header 的 HTTP 请求，核心是用 httptest.NewRequest 创建请求后调用 req.Header.Set("Authorization", "Bearer xxx")，注意 Bearer 后必须有空格；需覆盖缺失、格式错误、过期等 Token 场景，验证中间件是否正确返回 401 并阻止进入 handler。
怎么在 Go test 中模拟带 Authorization Header 的 HTTP 请求
测试带 Token 的接口，核心是手动构造 *http.Request 并设置 Authorization: Bearer xxx 头。别依赖真实服务或全局 client 配置，用 httptest.NewRequest 最干净。
- 用
httptest.NewRequest("GET", "/api/user", nil)创建请求对象 - 紧接着调用
req.Header.Set("Authorization", "Bearer eyJhbGciOi...")，注意拼写和空格（Bearer后必须有一个空格） - 如果 Token 是无效格式（比如少字符、含非法 Base64），后端中间件可能直接返回 401，而不是进业务逻辑——这是预期行为，不是测试写错了
- 避免把 Token 硬编码在测试里；建议从环境变量读取或用固定测试 Token（如
test-token-123），并在 handler 中做简单字符串比对用于测试隔离
如何让 Gin/Echo/Chi 等框架的中间件在测试中生效
很多认证中间件（比如 Gin 的 AuthMiddleware()）默认只注册不执行，测试时容易漏掉——结果请求“绕过”了鉴权直接进了 handler，导致误判逻辑正确。
- 用
httptest.NewServer启一个真实 server 不必要且慢；优先用框架提供的测试路由构造方式，例如 Gin 的gin.New()+engine.Use(middleware) - 确保中间件在
engine.GET("/api/user", handler)前注册，顺序错会导致跳过 - 如果中间件依赖外部服务（如 Redis 校验 token），测试时应提前 mock 或替换为内存 map 查找，避免测试不稳定
- 检查中间件是否调用了
c.Abort()或c.Next()—— 没调c.Next()就返回，handler 根本不会执行
怎么验证 Token 解析失败时返回正确的错误响应
光测“Token 正确时能访问”不够，更要覆盖 Authorization 头缺失、格式错误、过期、签名无效等场景。这些错误通常由 jwt 库（如 golang-jwt/jwt/v5）抛出，但你要确保它们被中间件捕获并转成 401/403 响应。
TokenGX Cap 验证码【代码集成】技能 —— 面向开发场景，提供前端组件和后端验证的代码模板，帮助用户将 Cap 无感验证码快速集成到网站或应用中。适用场景：注册登录防刷、表单提交保护、API 接口防爬、发短信/邮件防滥用等。支持前端（HTML/React/Vue/Next.js）和后端（Node.js/Python/PHP/Go）全栈集成。触发词：集成验证码、添加人机验证、CAPTCHA 集成、cap widget、验证码前端、验证码后端、防刷表单等。与 tokengx-cap-admin（服务
- 构造非法请求：Header 设为
"Authorization: Bearer "（空值）、"Authorization: Token xxx"（错协议）、"Authorization: Bearer invalid.token.here" - 检查响应状态码是否为
401，Body 是否含明确错误字段（如{"error": "invalid token"}），而不是 panic 或 500 - 若用
golang-jwt/jwt/v5，注意其Parse方法返回的*jwt.Token需手动调用Valid()，否则过期 token 可能解析成功但未校验时效 - 测试中不要依赖系统时间；可临时 patch
time.Now或使用支持时间偏移的 jwt 库（如github.com/golang-jwt/jwt/v5的WithTimeFunc）
为什么 TestMain 中全局设置 http.DefaultClient.Timeout 会影响测试结果
有些同学在 TestMain 里给 http.DefaultClient 加超时，结果 token 测试偶尔失败——其实和认证无关，而是并发测试时共享 client 导致连接复用干扰或 timeout 误触发。
立即学习“go语言免费学习笔记（深入）”；
- 每个测试函数应创建独立的
http.Client实例，例如&http.Client{Timeout: 3 * time.Second} - 绝对不要修改
http.DefaultClient，它被标准库多个地方隐式使用，测试间状态污染极难排查 - 如果用
net/http/httptest的Server，根本不需要 client——直接传*http.Request给 handler 调用即可，零网络开销 - 真正要测“客户端超时行为”，应单独写集成测试，启动真实 server 并人为 delay handler，而非在单元测试里动 client 配置
Token 测试最常被忽略的是中间件执行链的完整性——看着请求进了 handler，其实只是因为中间件没注册或 c.Next() 被漏掉。每次改完中间件逻辑，务必重跑所有带 auth 的测试用例，观察状态码是否符合预期。
