权限中间件必须在路由注册前绑定，需将权限标识（如"user:read"）显式设于路由元数据而非路径匹配，通过c.GetRoute().Metadata["perm"]提取；JWT解析失败或权限不足时须立即c.Abort()并返回401/403响应。
权限中间件必须在路由注册前绑定，不能靠路径字符串动态判断
直接在 echo.HandlerFunc 里用 c.Path() 或 c.Request().URL.Path 做 if/else 匹配权限，是典型反模式。Echo 的路由树在启动时已固化，中间件执行时无法可靠还原原始注册路径（比如 /users/:id 和 /users/123 都会返回后者）。真正可行的方式是：把权限标识显式绑定到路由上，再由中间件统一提取。
推荐做法是使用 c.Set("required_perm", "user:read") 在路由定义时写入，中间件里用 c.Get("required_perm") 取。这样既解耦、又可测试，还能避免路径解析歧义。
- 不要在中间件里写
if c.Path() == "/admin/users" { ... }—— 路径可能带查询参数、被重定向、或未来加版本前缀（如/v2/admin/users） - 若用分组路由（
e.Group("/api")），可在分组创建后统一调用group.Use(authMiddleware)，但依然要靠每个子路由自己设权限标识 - 如果用 Casbin，
enforcer.Enforce()的第一个参数应是用户角色或 ID，第二个是标准化后的资源名（如"GET:/api/users"），不是原始路径
如何给不同 HTTP 方法的同一路径配不同权限
Echo 允许对同一路径注册多个方法（e.GET、e.POST 等），它们是独立的路由节点。这意味着你完全可以为 GET /posts 设 "post:list"，而为 POST /posts 设 "post:create"，互不干扰。
关键在于：权限标识必须随 handler 一起注册，而不是挂在路径上。最简方式是在每个路由定义时显式传入：
e.GET("/posts", postListHandler).Name = "post:list"
e.POST("/posts", postCreateHandler).Name = "post:create"
然后中间件里通过 c.HandlerName() 获取——注意这不是 100% 可靠（函数名可能重复或被混淆），更稳妥的是封装一个注册函数：
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
func AddRoute(e *echo.Echo, method, path, perm string, h echo.HandlerFunc) {
r := e.Add(method, path, h)
r.Metadata["perm"] = perm // 写入元数据
}
// 中间件中取：perm := c.GetRoute().Metadata["perm"]
JWT 解析失败或无权限时，必须立即终止流程
权限中间件里常见错误是把校验逻辑放在 c.Next() 后面，或者只调 c.Abort() 却没设状态码和响应体。结果是 handler 已执行、数据库已查、甚至数据已修改，最后才返回 403，造成逻辑错乱和安全漏洞。
正确顺序永远是：解析 → 校验 → 拒绝或放行。拒绝必须包含明确响应：
- JWT 解析失败：用
c.JSON(401, map[string]string{"error": "invalid token"})+c.Abort() - 权限不足：用
c.NoContent(403)或c.JSON(403, map[string]string{"error": "forbidden"})+c.Abort() - 绝对不要只写
return nil或漏掉c.Abort()—— Echo 不会自动中断后续 handler
动态菜单权限和接口访问权限必须分离设计
前端菜单展示（“能不能看到这个按钮”）和后端接口执行（“能不能调这个 API”）是两件事。很多人试图用同一个权限字符串（如 "user:list"）同时控制两者，结果导致路径匹配混乱、策略膨胀、难以审计。
建议拆成两个维度：
- 接口级权限：基于
Method + Path构造唯一 key（如"GET:/api/users"），走 Casbin 或简单 map 查；用于中间件拦截 - 菜单级权限：单独维护一张映射表（如
map[string]string{"user-management": "GET:/api/users"}），登录后一次性返回给前端；中间件不参与此过程 - 缓存策略也应分开：接口权限可 TTL 5 分钟，菜单权限可 TTL 30 分钟，避免因菜单更新慢导致误判
最易被忽略的一点：菜单权限字段（如 "user:list"）本身不应出现在任何路由中间件的校验逻辑里——它只是前端渲染依据，不是服务端准入条件。
