JSON Web Tokens (JWT)是一种流行的安全方法,用于在两个方之间表示声明。在Web应用程序领域,它们通常用作从客户端向服务器传输身份信息(声明)的方式。本教程将引导您逐步实现Go应用程序中的JWT身份验证过程。
什么是JWT?
JSON Web Token (JWT)是一种紧凑且URL安全的方式,用于在两个方之间传输声明。JWT中的声明被编码为一个JSON对象,并使用JSON Web Signature (JWS)进行数字签名。
JWT通常的格式为:xxxxx.yyyyy.zzzzz
- 头部:头部(xxxxx)通常由两部分组成:令牌类型JWT和签名算法。
- 负载:负载(yyyyy)包含了声明。声明是关于主题(用户)的陈述。
- 签名:要创建签名(zzzzz)部分,您需要使用编码后的头部、编码后的负载、一个密钥以及头部中指定的算法进行签名。
Go环境设置
首先,您需要一个用于在Go中处理JWT的软件包。我们将使用github.com/golang-jwt/jwt软件包。[1]
在Go中生成JWT
让我们创建一个生成JWT的函数:
package main
import (
"fmt"
"github.com/golang-jwt/jwt/v4"
"time"
)
var mySigningKey = []byte("secretpassword")
func GenerateJWT() (string, error) {
token := jwt.New(jwt.SigningMethodHS256)
claims := token.Claims.(jwt.MapClaims)
claims["authorized"] = true
claims["user"] = "John Doe"
claims["exp"] = time.Now().Add(time.Minute * 30).Unix()
tokenString, err := token.SignedString(mySigningKey)
if err != nil {
fmt.Errorf("Something went wrong: %s", err.Error())
return "", err
}
return tokenString, nil
}
在Go中验证JWT
现在,让我们验证JWT:
func ValidateToken(tokenString string) (*jwt.Token, error) {
token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
return nil, fmt.Errorf("There was an error")
}
return mySigningKey, nil
})
if err != nil {
return nil, err
}
return token, nil
}
在Go Web应用程序中使用JWT进行身份验证
以下是一个简单示例,在Go的HTTP服务器中集成了JWT生成和验证:
package main
import (
"fmt"
"log"
"net/http"
)
func HomePage(w http.ResponseWriter, r *http.Request) {
validToken, err := GenerateJWT()
if err != nil {
fmt.Fprintf(w, err.Error())
}
clientToken := r.Header.Get("Token")
if clientToken != validToken {
w.WriteHeader(http.StatusUnauthorized)
fmt.Fprintf(w, "Token is not valid")
return
}
fmt.Fprintf(w, "Hello, World!")
}
func handleRequests() {
http.HandleFunc("/", HomePage)
log.Fatal(http.ListenAndServe(":9000", nil))
}
func main() {
handleRequests()
}
使用此设置:
- 服务器在访问主页时创建一个JWT。
- 要进行验证,客户端需要在标头“Token”中发送相同的JWT。
- 这只是一个基本示例。在实际情况中,您会在登录后生成一个令牌,并在每个需要身份验证的请求上进行检查。
JWT提供了一种强大而灵活的方法来处理Web应用程序中的身份验证和授权。在Go中,借助像github.com/golang-jwt/jwt[2]这样的软件包,实现基于JWT的身份验证非常简单。但请记住,始终保持您的签名密钥保密,并在生产应用程序中使用安全的方法,最好是RSA,以增加安全性。