在Go語言中使用JWT實現身份驗證的最佳實踐

王林

發布： 2023-06-17 12:54:10

原創

2443 人瀏覽過

隨著Web應用程式的普及和應用範圍的擴大，保護使用者資料和身分資訊越來越重要。在應用程式中進行身份驗證是非常必要的，本文將介紹在Go語言中如何使用JWT實現身份驗證的最佳實踐。

什麼是JWT

JWT是JSON Web Token的縮寫，是一種不需要Cookie等儲存方式而能夠安全傳遞訊息的身份驗證機制。

一個JWT由三個部分組成：

Header：包含演算法和類型等資訊。
Payload：儲存要傳遞的使用者訊息，例如使用者名稱、ID等。
Signature：由Header和Payload以及金鑰產生的簽名，確保JWT沒有被竄改過。

使用者在登入時，服務端會驗證使用者的訊息，如果通過，服務端會產生JWT並將其傳回給客戶端，當客戶端再次存取其他資源時，需要攜帶JWT以供服務端進行使用者驗證，這樣就可以避免每次請求都需要進行身份驗證和儲存Session。

怎麼在Go語言中使用JWT實作驗證

安裝

要使用JWT，需要安裝相關的套件。在Go語言中，官方提供了github.com/dgrijalva/jwt-go包，可以輕鬆使用。

go get github.com/dgrijalva/jwt-go

登入後複製

建立JWT令牌

我們可以使用以下程式碼建立JWT令牌

func createToken() string {
    token := jwt.New(jwt.SigningMethodHS256)
    claims := token.Claims.(jwt.MapClaims)
    claims["name"] = "张三"
    claims["exp"] = time.Now().Add(time.Hour * 24).Unix() // 1天过期
    tokenString, _ := token.SignedString([]byte("自定义密钥"))
    return tokenString
}

登入後複製

jwt.New(jwt.SigningMethodHS256)用於建立JWT令牌實例，其中jwt.SigningMethodHS256表示使用HS256演算法。

令牌實例的Claims類型是一個map，透過向該map添加訊息，可以在令牌中儲存自訂的資料。進行身份驗證時，可以取得Payload中的資料。

在Claims中，我們透過新增"name"和"exp"來定義了使用者資訊和過期時間，然後我們透過使用金鑰進行簽章產生了JWT令牌。

解析JWT令牌

當客戶端向服務端發送JWT令牌時，服務端需要檢查JWT令牌的有效性並解析取得使用者資訊。

func parseToken(tokenString string) {
    token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
        if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
            return nil, fmt.Errorf("预期的签名方法不正确：%v", token.Header["alg"])
        }
        return []byte("自定义密钥"), nil
    })
    if err != nil {
        fmt.Println("JWT解析失败")
        return
    }
    if claims, ok := token.Claims.(jwt.MapClaims); ok && token.Valid {
        fmt.Println(claims["name"], claims["exp"])
    } else {
        fmt.Println("无效的JWT令牌")
    }
}

登入後複製

在程式碼中，強制型別轉換token.Claims.(jwt.MapClaims)取得map形式的jwt.Claims，並進行驗證。

我們還需要提供金鑰（這裡是"自訂金鑰"）來驗證簽名，以確保傳輸過程中未被篡改。

如果JWT令牌驗證通過，就可以從Claims中獲取信息，包括儲存在令牌中的自訂資料。

JWT使用實例

下面是一個完整的Go範例，展示建立JWT令牌和解析JWT令牌的完整過程。

package main

import (
    "fmt"
    "time"

    "github.com/dgrijalva/jwt-go"
)

func main() {
    // 创建JWT令牌
    token := jwt.New(jwt.SigningMethodHS256)
    claims := token.Claims.(jwt.MapClaims)
    claims["name"] = "张三"
    claims["exp"] = time.Now().Add(time.Hour * 24).Unix()

    // 签名密钥
    tokenString, _ := token.SignedString([]byte("自定义密钥"))
    fmt.Println("JWT创建成功", tokenString)

    // 解析JWT令牌
    token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
        if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
            return nil, fmt.Errorf("预期的签名方法不正确：%v", token.Header["alg"])
        }
        return []byte("自定义密钥"), nil
    })
    if err != nil {
        fmt.Println("JWT解析失败")
        return
    }
    if claims, ok := token.Claims.(jwt.MapClaims); ok && token.Valid {
        fmt.Println("JWT解析成功", claims["name"], claims["exp"])
    } else {
        fmt.Println("无效的JWT令牌")
    }
}

登入後複製