Golang JWT验证遇无效内存地址/空指针解引用问题求助

你的空指针 panic 根源在于**ValidateToken函数的职责越界**，以及错误处理逻辑的漏洞：

1. 原函数在验证失败时直接调用c.JSON发送响应，若c.JSON返回nil（比如响应发送成功），会导致ValidateToken返回nil token和nil err，此时TokenMiddleware会跳过错误检查，直接访问token.Claims触发空指针。
2. 类型断言未做安全检查，即使 token 有效，也可能因类型不匹配触发 panic。

修复后的代码 #

1. 重构ValidateToken函数（专注验证逻辑，不处理HTTP响应）

import "fmt"

func ValidateToken(tokenString string, secretKey string) (*jwt.Token, error) {
    token, err := jwt.ParseWithClaims(tokenString, &jwtCustomClaims{}, func(token *jwt.Token) (interface{}, error) {
        // 强制校验签名算法，防止非预期的算法攻击
        if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
            return nil, fmt.Errorf("unexpected signing method: %v", token.Header["alg"])
        }
        return []byte(secretKey), nil
    })

    if err != nil {
        return nil, err
    }

    // 安全校验claims类型和token有效性
    _, ok := token.Claims.(*jwtCustomClaims)
    if !ok || !token.Valid {
        return nil, fmt.Errorf("invalid token claims or token is not valid")
    }

    return token, nil
}

2. 修改TokenMiddleware（统一处理响应和错误）

func TokenMiddleware(c *fiber.Ctx) error {
    tokenString := c.Get("Authorization")
    if tokenString == "" {
        return c.JSON(fiber.Map{
            "message": "No token",
            "code":    401, // 用401符合HTTP语义，代表未授权
        })
    }

    // 用TrimPrefix精准移除Bearer前缀，避免替换多次的问题
    tokenString = strings.TrimPrefix(tokenString, "Bearer ")

    token, err := ValidateToken(tokenString, os.Getenv("SECRET"))
    if err != nil {
        // 根据错误类型返回精准提示
        switch err {
        case jwt.ErrSignatureInvalid:
            return c.JSON(fiber.Map{
                "message": "Invalid token signature",
                "code":    401,
            })
        case jwt.ErrTokenExpired:
            return c.JSON(fiber.Map{
                "message": "Token has expired",
                "code":    401,
            })
        default:
            return c.JSON(fiber.Map{
                "message": "Unauthorized",
                "code":    401,
            })
        }
    }

    // 安全转换claims，同时检查类型匹配
    claims, ok := token.Claims.(*jwtCustomClaims)
    if !ok {
        return c.JSON(fiber.Map{
            "message": "Failed to parse token claims",
            "code":    401,
        })
    }

    expiresIn := time.Until(time.Unix(claims.ExpiresAt, 0))
    if expiresIn > 0 {
        return c.JSON(fiber.Map{
            "message":    "Token is valid",
            "expires_in": expiresIn.String(),
            "is_expired": false,
        })
    } else {
        // 这里理论上不会触发，因为过期token已被ValidateToken的err捕获
        return c.JSON(fiber.Map{
            "message":    "Token is expired",
            "expires_in": 0,
            "is_expired": true,
        })
    }
}

关键修复点说明 #

• 分离职责：验证函数只做token校验，返回错误类型，HTTP响应由中间件统一处理，避免提前发送响应导致的逻辑漏洞。
• 安全类型断言：转换claims时同时检查ok状态，防止类型不匹配触发panic。
• 精准错误处理：针对不同的JWT错误（签名无效、过期等）返回不同提示，提升调试和用户体验。
• 符合HTTP语义：使用401状态码代表未授权，替代原400错误码。

内容的提问来源于stack exchange，提问作者Hey L1nk