Buffalo框架需手动实现JWT中间件：用buffalo.MiddlewareFunc封装HTTP逻辑，通过app.Use()注册；从c.Request().Header.Get("Authorization")解析Bearer token，校验后存入c.Value("user")，失败时调c.Error(401, err)。
Buffalo 框架里怎么加 JWT 中间件？
Buffalo 默认不带 JWT 支持，得自己写中间件注入到请求链路里。核心是用 buffalo.MiddlewareFunc 包一层标准的 HTTP 中间件逻辑，再通过 app.Use() 注册进去。别直接套用其他框架（比如 Gin）的 JWT 中间件，Buffalo 的上下文类型是 buffalo.Context，不是 *http.Request，混用会 panic。
常见错误现象：context canceled 或 nil pointer dereference，多半是没正确从 c.Request() 提取 header，或没调用 c.Next() 导致流程中断。
- 从
c.Request().Header.Get("Authorization")读 token，注意前缀可能是"Bearer xxx"，得手动切掉 - 解析后把用户信息存进
c.Set("user", user)，后续 handler 用c.Param("user")或c.Data["user"]取（推荐用c.Value("user")更安全） - 校验失败时调
c.Error(401, err)，别用http.Error，否则 Buffalo 的错误处理机制不生效
JWT 签名密钥和算法怎么配才安全？
Buffalo 本身不管 JWT 配置，得在 actions/app.go 初始化阶段传入。用 github.com/golang-jwt/jwt/v5（v5 是当前主流），别用已归档的 jwt-go（有严重漏洞）。密钥必须是 32 字节以上随机字符串，硬编码在代码里是大忌——应该从环境变量读，比如 os.Getenv("JWT_SECRET_KEY")。
算法选 jwt.SigningMethodHS256 就够用，除非你真有非对称需求（比如前端要验签）。用 RS256 就得多管私钥加载、PEM 解析、密钥轮换，Buffalo 没内置支持，容易出错。
立即学习“go语言免费学习笔记（深入）”；
- 生成安全密钥：运行
openssl rand -hex 32，存进.env文件 - 解析 token 时显式指定
SigningMethod，避免 alg 混淆攻击（例如把 HS256 伪造成 none） - 设置
ExpiresAt和IssuedAt，校验时必须调用token.Claims.VerifyExpiresAt(time.Now().UTC(), true)
怎么让登录接口返回 Token 并设 HttpOnly Cookie？
Buffalo 的 c.Render() 不自动设 cookie，得手动调 http.SetCookie(c.Response(), &http.Cookie{...})。Token 存 cookie 比放 body 更防 XSS，但必须配 HttpOnly=true、Secure=true（生产环境）、SameSite=Strict 或 Lax。
别把 token 直接塞进 JSON 响应体就完事——前端拿不到 cookie 就没法自动带凭证，每次请求都得手动塞 header，体验差还易漏。
- 生成 token 后，用
c.Response().Header().Set("Content-Type", "application/json")显式设类型，避免 Buffalo 自动加 HTML 头 - cookie 名建议用
auth_token，别叫jwt或token——太泛，可能被其他脚本覆盖 - 过期时间统一用
time.Hour * 24，别依赖 token 内部的exp字段做服务端过期判断（得查 Redis 或 DB）
权限路由怎么按角色控制？
Buffalo 没 RBAC 内置方案，得靠中间件组合。典型做法是写两个中间件：RequireAuth（只校验 token 是否有效），RequireRole("admin")（再从 c.Value("user") 取角色字段比对）。别在一个中间件里全写完，否则复用性差。
容易踩的坑：角色字段存在 token payload 里还是数据库里？如果放 payload，改角色就得重发 token；如果查 DB，每次请求多一次查询——折中方案是 payload 放 role_id，中间件里查缓存（比如 redis.Get("role:" + id)）。
- 路由分组时用
api := app.Group("/api")，然后api.Use(RequireAuth, RequireRole("user")) - handler 里别重复解析 token，直接从
c.Value("user").(*User)断言取结构体 - 超级管理员绕过角色检查？加个
if user.Role == "super" { return nil }分支，别删中间件
最麻烦的是 token 续期和主动失效。Buffalo 没刷新令牌机制，得自己实现 /refresh 接口；黑名单要用 Redis 存 jti，别用内存 map——集群部署时无效。
