鉴权中间件必须在MVC Party注册前挂载，否则authMiddleware不生效：因Iris MVC路由绑定发生在mvc.New()后的Handle()阶段，此时中间件链已固化；若先New再Use，中间件无法进入链路，控制器裸奔执行，ctx.Values().Get("user_id")返回nil且无日志痕迹。
鉴权中间件必须在 MVC Party 注册前挂载，否则整个控制器裸奔执行
为什么 authMiddleware 没生效？
常见现象是：加了中间件，但控制器方法仍能直接访问，ctx.Values().Get("user_id") 返回 nil，日志里也看不到中间件执行痕迹。
根本原因是注册顺序错了。Iris 的 MVC 路由绑定发生在 mvc.New(api) 之后的 Handle() 阶段，此时中间件链已固化。如果先 mvc.New(app.Party("/api")) 再调 Use()，中间件压根不会进链路。
- ✅ 正确写法：
api := app.Party("/api"); api.Use(authMiddleware); mvc.New(api).Handle(new(UserController)) - ❌ 错误写法：
mvc.New(app.Party("/api")).Handle(...); app.Use(authMiddleware)（全局中间件不覆盖 MVC 分组） - ❌ 补救无效：
BeforeActivation只影响单个 handler，无法统一控制整个 Party
JWT 失败后不调 ctx.StopExecution() 会触发业务逻辑
解析 token 失败时只写响应却不终止流程，会导致后续中间件（如日志、监控）和控制器方法继续执行。比如删用户接口在 token 过期后仍被调用，造成严重安全漏洞。
典型错误写法：
if err != nil {
ctx.StatusCode(401)
ctx.JSON(BizError{Code: 40101, Msg: "token 无效"})
// ❌ 缺少 ctx.StopExecution()
}
ctx.Next()
正确做法是失败分支必须显式终止：
- 调用
ctx.StatusCode(401)+ctx.JSON(...)+ctx.StopExecution() -
ctx.StopExecution()和ctx.StopWithStatus()不同：后者只跳过当前 handler，前者彻底切断整个中间件链 - 测试时可故意传错 token，抓包确认无多余日志、无数据库操作、状态码与响应体严格匹配
控制器里怎么安全取用户信息？
Iris 不会自动把鉴权结果注入控制器字段或参数，所有上下文数据必须通过 ctx.Values() 显式获取。依赖自动绑定或结构体标签的做法在这里失效。
常见误区：
- 在 controller 方法签名里加
userID int参数 → 编译通过但值永远为 0 - 用
ctx.Session().Get("user_id")→ Iris 默认不启用 session，启用了就破坏无状态性 - 在中间件里往全局 map 写用户数据 → 引入服务端状态，违背 JWT 设计初衷
正确姿势：
- 鉴权中间件中：
ctx.Values().Set("user_id", claims.UserID) - 控制器中：
userID := ctx.Values().GetInt64("user_id")（注意类型匹配） - 若需角色权限，统一收口到中间件判断，控制器只做业务逻辑，不重复校验
最容易被忽略的一点：路径前缀和中间件作用域必须严格对齐。比如 /health 或 /favicon.ico 也会触发全局 app.Use()，若没手动跳过，可能因读 body 或校验 token 导致 panic；而 OPTIONS 预检请求若未识别并 ctx.StopExecution()，前端跨域直接失败。这些不是边缘 case，而是上线后第一波报错来源。
