// 1. Access Token 中間件（只驗簽，不查庫）
func AuthMiddleware() gin.HandlerFunc {
    return func(c *gin.Context) {
        token := c.GetHeader("Authorization")
        // 只做本地解析和驗簽
        claims, err := jwt.ParseWithClaims(token, &MyClaims{}, func(t *jwt.Token) (interface{}, error) {
            return mySecret, nil
        })
        if err != nil || claims.ExpiresAt.Time.Before(time.Now()) {
            c.AbortWithStatusJSON(401, "token expired")
            return
        }
        // 極小概率查黑名單（只針對被拉黑的用戶）
        if redis.Exists(ctx, "blacklist:"+claims.Id).Val() > 0 {
            c.AbortWithStatusJSON(403, "revoked")
            return
        }
        c.Set("user_id", claims.UserID)
        c.Next()
    }
}
// 2. Refresh 接口（必須查庫）
func RefreshHandler(c *gin.Context) {
    refreshToken := c.GetHeader("X-Refresh-Token")
    // 步驟1：本地驗簽（防篡改）
    claims, err := jwt.ParseWithClaims(refreshToken, &MyClaims{}, ...)
    if err != nil {
        c.JSON(401, "invalid")
        return
    }
    // 步驟2：查數(shù)據(jù)庫（關(guān)鍵！）
    var dbRecord RefreshTokenModel
    db.Where("jti = ? AND revoked = ? AND expires_at > ?", claims.Id, false, time.Now()).First(&dbRecord)
    if dbRecord.ID == 0 {
        c.JSON(401, "refresh token invalid or expired")
        return
    }
    // 步驟3：輪換策略（防重放攻擊）
    // 標記舊記錄為已用
    db.Model(&dbRecord).Update("revoked", true)
    // 生成新的 Access Token 和 Refresh Token
    newAccess := generateAccessToken(dbRecord.UserID)
    newRefresh := generateRefreshToken(dbRecord.UserID) // 攜帶新的 jti
    // 插入新 Refresh Token 記錄
    db.Create(&RefreshTokenModel{JTI: newClaims.Id, UserID: dbRecord.UserID, ExpiresAt: ...})
    c.JSON(200, gin.H{
        "access_token":  newAccess,
        "refresh_token": newRefresh,
    })
}