2. 中间件基础概念：中间件在Web框架中的角色，请求/响应生命周期，钩子函数原理

在Web框架中，中间件（Middleware）是嵌入在请求/响应处理管道中的可插拔组件。它允许开发者在请求到达路由处理函数之前、响应返回客户端之前，执行通用的横切逻辑，如鉴权、日志、CORS、限流等。理解中间件的角色、生命周期和钩子原理，是构建安全、可维护的API服务的基础。

2.1 中间件在Web框架中的角色

中间件本质上是一个可调用的处理单元，它接收请求对象和下一个处理步骤的引用，执行自定义逻辑后，决定是否将请求传递给下一个中间件或路由处理函数。其核心角色包括：

• 请求预处理：在路由匹配前，对请求进行校验、转换或增强（如解析Token、验证签名）。
• 响应后处理：在路由处理函数生成响应后，对响应进行修改、压缩或添加安全头。
• 短路拦截：当条件不满足时（如鉴权失败），直接返回错误响应，不再继续执行后续中间件或路由。
• 横切关注点分离：将日志、监控、异常处理等通用逻辑从业务代码中剥离，提升代码复用性和可维护性。

2.2 请求/响应生命周期

在典型的Web框架（如Flask、FastAPI、Django）中，一个HTTP请求从接收到响应的完整生命周期可以划分为以下阶段：

1. WSGI/ASGI 服务器接收请求：原始HTTP请求被解析为框架可识别的请求对象。
2. 中间件链（入站）：请求依次通过注册的中间件列表。每个中间件可以修改请求、记录日志或提前终止。
3. 路由匹配：框架根据请求的URL和方法，匹配对应的路由处理函数。
4. 路由处理函数执行：执行业务逻辑，生成响应对象。
5. 中间件链（出站）：响应以相反的顺序通过中间件列表。每个中间件可以修改响应或执行清理操作。
6. WSGI/ASGI 服务器发送响应：最终响应被序列化并发送回客户端。

2.3 钩子函数原理

钩子函数（Hook Function）是中间件机制的具体实现方式。框架在请求/响应生命周期的特定节点预留“钩子”，允许开发者注入自定义逻辑。常见的钩子类型包括：

• 请求前钩子（before_request）：在路由匹配前执行，常用于鉴权、请求校验。
• 请求后钩子（after_request）：在路由处理后、响应发送前执行，常用于修改响应头、记录日志。
• 异常钩子（exception_handler）：当路由处理函数抛出异常时执行，用于统一错误处理。
• 上下文钩子（context_hook）：在请求上下文中注入共享数据（如数据库会话、用户信息）。

钩子函数的执行原理可以概括为：框架维护一个有序的钩子函数列表，在生命周期到达特定节点时，依次调用列表中的函数，并将控制权传递给下一个函数或最终处理单元。

2.4 中间件与钩子函数的代码示例

以下是一个基于FastAPI的中间件实现示例，展示了如何在请求前和请求后插入钩子逻辑：

from fastapi import FastAPI, Request
from starlette.middleware.base import BaseHTTPMiddleware
from starlette.responses import JSONResponse
import time

app = FastAPI()

class AuthMiddleware(BaseHTTPMiddleware):
    async def dispatch(self, request: Request, call_next):
        # 请求前钩子：验证Token
        token = request.headers.get("Authorization")
        if not token or not token.startswith("Bearer "):
            return JSONResponse(
                status_code=401,
                content={"detail": "Missing or invalid token"}
            )
        # 将用户信息注入请求状态
        request.state.user_id = "user_123"

        # 调用下一个中间件或路由处理函数
        response = await call_next(request)

        # 请求后钩子：添加安全头
        response.headers["X-Process-Time"] = str(time.time())
        return response

app.add_middleware(AuthMiddleware)

@app.get("/api/protected")
async def protected_endpoint(request: Request):
    return {"message": f"Hello {request.state.user_id}"}