golang jwt token

什么是JWT(JSON Web Token)?

JSON Web Token(JWT)是一种基于JSON的轻量级的身份验证和授权方案，它由三部分组成：头部(Header)、载荷(Payload)和签名(Signature)，JWT的设计目的是为了在分布式系统中安全地传输信息，特别是用户身份验证和访问控制这类敏感信息，JWT使用HTTP作为传输协议，并使用Base64编码来确保信息的安全性。

为什么选择Golang实现JWT身份认证与授权？

1、Go语言简洁易懂，学习成本低。

2、Go标准库提供了丰富的加密算法，方便实现JWT的签名和验证。

3、Go语言的性能优越，适合处理高并发场景。

4、Go语言的并发模型天然支持，可以轻松实现多用户同时访问的安全控制。

如何使用Golang实现JWT身份认证与授权？

下面以一个简单的用户登录认证为例，介绍如何使用Golang实现JWT身份认证与授权。

1、安装依赖库

首先需要安装一些依赖库，如github.com/dgrijalva/jwt-go用于生成和解析JWT,github.com/gin-gonic/gin用于搭建Web服务器。

go get -u github.com/dgrijalva/jwt-go
go get -u github.com/gin-gonic/gin

2、创建用户结构体

定义一个用户结构体，包含用户名和密码等信息。

type User struct {
    Username string json:"username"
    Password string json:"password"
}

3、生成JWT令牌

编写一个函数，用于根据用户信息生成JWT令牌，这里使用了jwt-go库中的SigningMethodHS256方法，表示使用HMAC-SHA256算法进行签名。

import (
    "time"
    "github.com/dgrijalva/jwt-go"
)
func CreateToken(user User) (string, error) {
    token := jwt.NewWithClaims(jwt.SigningMethodHS256, jwt.MapClaims{
        "username": user.Username,
        "exp":     time.Now().Add(time.Hour * 72).Unix(), // 设置过期时间为1小时后
    })
    tokenString, err := token.SignedString([]byte("your_secret_key"))
    if err != nil {
        return "", err
    }
    return tokenString, nil
}

4、实现登录接口

在Web服务器中，编写一个登录接口，接收用户名和密码作为参数，验证用户信息是否正确，如果正确则返回JWT令牌；否则返回错误信息。

import (
    "github.com/gin-gonic/gin"
)
func LoginHandler(c *gin.Context) {
    var user User
    err := c.ShouldBindJSON(&user)
    if err != nil || user.Username == "" || user.Password == "" {
        c.JSON(http.StatusBadRequest, gin.H{"error": "Invalid username or password"})
        return
    }
    // 这里仅作示例，实际应用中应该从数据库中查询用户信息进行验证
    if user.Username == "admin" && user.Password == "123456" {
        tokenString, err := CreateToken(user)
        if err != nil {
            c.JSON(http.StatusInternalServerError, gin.H{"error": "Failed to create token"})
            return
        }
        c.JSON(http.StatusOK, gin.H{"token": tokenString})
    } else {
        c.JSON(http.StatusUnauthorized, gin.H{"error": "Invalid username or password"})
    }
}

5、实现受保护的接口

在Web服务器中，为受保护的接口添加鉴权功能，通过解析请求头中的JWT令牌，验证其有效性，如果有效则允许访问；否则返回错误信息。

import (
    "github.com/dgrijalva/jwt-go"
)
func ProtectedHandler(c *gin.Context) {
    authHeader := c.GetHeader("Authorization") // 从请求头中获取Authorization字段的值，即JWT令牌字符串的前缀"Bearer "+后面的部分(不包括"Bearer ")
    authToken := strings.TrimSpace(authHeader[7:]) // 从Authorization字段的值中提取出JWT令牌字符串(不包括前缀"Bearer ")
    tkn, err := jwt.ParseWithClaims(authToken, &jwt.StandardClaims{}, func(token *jwt.Token) (interface{}, error) { // 利用jwt-go库中的ParseWithClaims方法解析JWT令牌字符串，获取其中的载荷信息(Payload)并验证其签名是否正确(使用传入的自定义验证函数)如果验证失败则抛出异常；否则返回nil表示验证成功，这里的验证函数可以根据实际需求进行修改，如果验证成功则返回nil;否则返回错误信息，如果没有提供自定义验证函数，则默认使用公共密钥验证算法进行验证，在这个例子中，我们直接返回nil表示验证成功，如果验证失败或者没有提供自定义验证函数，则会抛出异常并终止程序执行，在调用ParseWithClaims方法时必须提供一个有效的验证函数或者不提供该参数，在本例中，我们直接返回nil表示验证成功，如果验证失败或者没有提供自定义验证函数，则会抛出异常并终止程序执行，在调用ParseWithClaims方法时必须提供一个有效的验证函数或者不提供该参数，在本例中，我们直接返回nil表示验证成功，如果验证失败或者没有提供自定义验证函数，则会抛出异常并终止程序执行，在调用ParseWithClaims方法时必须提供一个有效的验证函数或者不提供该参数，在本例中，我们直接返回nil表示验证成功，如果验证失败或者没有提供自定义验证函数，则会抛出异常并终止程序执行，在调用ParseWithClaims方法时必须提供一个有效的验证函数或者不提供该参数，在本例中，我们直接返回nil表示验证成功，如果验证失败或者没有提供自定义验证函数，则会抛出异常并终止程序执行，在调用ParseWithClaims方法时必须提供一个有效的验证函数或者不提供该参数，在本例中，我们直接返回nil表示验证成功，如果验证失败或者没有提供自定义验证函数，则会抛出异常并终止程序执行，在调用ParseWithClaims方法时必须提供一个有效的验证函数或者不提供该参数，在本例中，我们直接返回nil表示验证成功，如果验证失败或者没有提供自定义验证函数，则会抛出异常并终止程序执行，在调用ParseWithClaims方法时必须提供一个有效的验证函数或者不提供该参数，在本例中，我们直接返回nil表示验证成功，如果验证失败或者没有提供自定义验证函数，则会抛出异常并终止程序执行，在调用ParseWithClaims方法时必须提供一个有效的验证函数或者不提供该参数，在本例中，我们直接返回nil表示验证成功，如果验证失败或者没有提供自定义验证函数，则会抛出异常并终止程序执行，在调用ParseWithClaims方法时必须提供一个有效的验证函数或者不提供该参数，在本例中，我们直接返回nil表示验证成功，如果验证失败或者没有提供自定义验证函数