Buffalo框架不内置API鉴权，需手动注入中间件：必须在路由组中注册（如app.Group("/api", func(g *buffalo.RouterGroup) { g.Use(AuthMiddleware) })），并在中间件中安全解析Bearer Token、校验JWT声明、设置上下文用户信息，且注意中间件执行顺序与数据库事务依赖关系。
Buffalo 框架本身不提供开箱即用的 API 身份验证机制，必须手动在中间件或 action 中注入校验逻辑——它不会自动读取 Authorization 头、解析 Bearer Token 或校验 JWT。你得自己决定：用 session？JWT？API Key？还是 OAuth2？然后在请求链里选对位置塞进去。
怎么注册鉴权中间件才真正生效
鉴权中间件必须注册在业务路由之前，且层级要匹配你的 API 路由结构。错一层，就可能让 /api/v1/users 绕过校验，而 /health 却被拦住。
-
app.Use(AuthMiddleware)：全局生效，包括/public/静态资源（除非你禁用了middleware.Static）——不推荐用于纯 API 项目 -
app.Group("/api", func(g *buffalo.RouterGroup) { g.Use(AuthMiddleware) })：只作用于该前缀下所有子路由，适合统一保护 API 群组 -
app.Group("/api/v1").Resource("/users", UsersResource{})之后再.Use(AuthMiddleware)：无效！Resource()返回的是*buffalo.Resource，不是*RouterGroup，不能链式调用Use()
正确写法是把 Resource() 放进 Group() 的闭包里：
app.Group("/api/v1", func(g *buffalo.RouterGroup) {
g.Use(AuthMiddleware)
g.Resource("/users", UsersResource{})
})
AuthMiddleware 里怎么安全提取和验证 token
别直接用 c.Request().Header.Get("Authorization") 后硬切字符串——容易漏空格、大小写、Bearer 缺失等边界情况。Buffalo 没封装 http.Request.Header.Get("Authorization") 的语义解析，得你自己做。
- 先检查头是否存在：
auth := c.Request().Header.Get("Authorization")，为空直接return c.Error(401, errors.New("missing Authorization header")) - 按空格分割后校验前缀：
if len(strings.Fields(auth)) != 2 || strings.ToLower(strings.Fields(auth)[0]) != "bearer" { ... } - token 字符串别直接传给
jwt.Parse——必须先 trim 空格，否则签名校验失败 - JWT 解析后务必校验
exp、iss、aud（如果用了），Buffalo 不帮你做这些 - 验证通过后，把用户信息塞进 context：
c.Set("user_id", claims.UserID)，后续 handler 才能安全使用
为什么 AuthMiddleware 里读不到 c.Value("tx")
常见坑：你在 app.Use(AuthMiddleware) 之后又注册了 app.Use(pop.Transaction(app.DB))，结果 AuthMiddleware 里调 c.Value("tx") 是 nil。
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
因为中间件执行顺序严格按注册顺序，pop.Transaction 还没运行，context 里自然没有 "tx" 键。如果你的鉴权逻辑需要查数据库（比如验证 API Key 是否有效），就必须把 AuthMiddleware 注册在 pop.Transaction 之后，或者改用 pop.Connection 显式获取 DB 连接。
更稳妥的做法是：把权限校验拆成两步——先用无状态方式（如 JWT）完成身份识别，再在业务 handler 里用已开启的事务查权限细节。这样既避免中间件依赖顺序问题，也减少 DB 查询压力。
如何兼容 session 登录与 API Token 两种模式
Buffalo 默认的 auth.Login 走 session，但 API 客户端通常不带 cookie。你不能让一个中间件同时处理两种认证方式还保持逻辑清晰。
- 不要在同一个
AuthMiddleware里混写c.Session().Get("user_id")和parseBearerToken()——分支太多，易出错 - 推荐分层：先注册一个
SessionOrTokenMiddleware，统一提取userID并塞进c.Set("user_id", id)；再注册RequireAuthMiddleware，只做“有没有 user_id”的判断 - 注意 session 和 token 的过期策略差异：session 依赖 cookie MaxAge，JWT 依赖
exp字段，别用同一套刷新逻辑 - CSRF 中间件默认对所有 POST/PUT/DELETE 生效，API 路由必须显式禁用：
g.Use(csrf.Middleware) // 仅对 HTML 页面启用，或在 API Group 里跳过
最常被忽略的一点：API 路由的错误响应格式。Buffalo 的 c.Error() 固定返回 {"error": "message"}，但前端可能期望 {"code": 401, "message": "...", "data": null}。别指望框架自动适配，得在中间件里拦截 c.Error() 调用，或统一用 c.JSON() 替代。
