在 beego 框架中，若需对 `/static/users/{id}/private/` 下的私有静态文件实施访问控制，不能使用 `beforerouter`，而必须选用 `beego.beforestatic` 过滤时机，并配合正则路由匹配与会话校验实现精准鉴权。
Beego 对静态文件（如 /static/ 目录下的资源）的处理具有特殊性：默认情况下，静态文件请求会绕过常规路由匹配流程（即 BeforeRouter 阶段不触发），直接由内置静态文件处理器响应。因此，即使你正确配置了形如 /static/users/:userId([0-9]+)/private/* 的路由模式并绑定到 beego.BeforeRouter，该过滤器也永远不会被执行。
✅ 正确方案：使用 beego.BeforeStatic
Beego 提供了专用于静态资源处理前的过滤钩子 —— beego.BeforeStatic。它在静态文件服务逻辑执行前被调用，是保护私有静态资源的唯一可靠入口。其注册方式如下：
beego.InsertFilter("/static/users/:id([0-9]+)/private/*", beego.BeforeStatic, controllers.ProtectPrivateUploads)⚠️ 注意事项：路由模式中建议使用 :id 而非 :userId（Beego 的命名习惯更倾向简洁参数名，且实际提取时统一通过 ctx.Input.Param(":id") 获取）；* 通配符需保留，确保匹配任意子路径（如 123135645.png 或嵌套目录）；BeforeStatic 是常量 iota = 0，定义于源码 router.go，虽文档未显式说明，但属稳定公开 API。
? 过滤器中实现用户身份校验
由于 BeforeStatic 阶段尚未进入 Controller 执行流，ctx.Input.Session() 不可用，需手动初始化 Session：
var ProtectPrivateUploads = func(ctx *context.Context) {
// 启动全局 session
sess, err := beego.GlobalSessions.SessionStart(ctx.ResponseWriter, ctx.Request)
if err != nil {
http.Error(ctx.ResponseWriter, "Session init failed", http.StatusInternalServerError)
ctx.Abort()
return
}
defer sess.SessionRelease(ctx.ResponseWriter)
// 获取当前登录用户的 ID（假设已存于 session 中）
userIDInSession := sess.Get("user_id")
if userIDInSession == nil {
http.Error(ctx.ResponseWriter, "Unauthorized", http.StatusUnauthorized)
ctx.Abort()
return
}
// 提取 URL 中的 :id 参数
requestedUserID := ctx.Input.Param(":id")
if requestedUserID == "" {
http.Error(ctx.ResponseWriter, "Invalid user path", http.StatusBadRequest)
ctx.Abort()
return
}
// 校验权限：仅允许访问自己目录下的 private 资源
if strconv.FormatUint(uint64(userIDInSession.(uint64)), 10) != requestedUserID {
http.Error(ctx.ResponseWriter, "Forbidden", http.StatusForbidden)
ctx.Abort()
return
}
}? 提示：确保已在 main.go 或配置中启用 Session（例如 beego.GlobalSessions = session.NewManager("memory", ...)），并设置合理的 SessionName 与 CookieLifeTime。
? 补充建议
- 避免路径冲突：确认无其他更宽泛的 InsertFilter（如 /static/*）提前拦截或覆盖该规则；
- 日志调试：在过滤器首行添加 log.Println("BeforeStatic triggered for:", ctx.Request.URL.Path)，验证是否生效；
- 性能考量：静态资源鉴权属于 IO 敏感操作，生产环境建议结合 Redis Session 并缓存用户权限元数据；
- 替代方案思考：对于高并发私有文件场景，也可考虑生成带签名的临时 URL（如 ?token=xxx&expires=1717...），将鉴权逻辑下沉至 Nginx 或 CDN 层。
通过 BeforeStatic 钩子 + 显式 Session 管理 + 路径参数比对，即可安全、可靠地实现 Beego 应用中用户私有静态资源的细粒度访问控制。
