Golang JWT实现Web身份验证教程

JWT由Header、Payload、Signature组成，通过SigningMethodHS256生成签名，使用密钥创建Token并返回；2. 客户端在Authorization头携带Bearer Token，中间件解析并验证签名有效性；3. 验证通过后从中提取用户信息存入上下文，供后续处理使用；4. 路由通过authMiddleware保护接口，确保只有合法Token可访问受保护资源。

在Web开发中，身份验证是保障系统安全的重要环节。Golang结合JWT（JSON Web Token）是一种常见且高效的实现方式。JWT具备无状态、可扩展、跨域支持等优点，非常适合分布式系统中的用户认证。

JWT基本原理

JWT由三部分组成：Header、Payload 和 Signature。它们用点（.）连接成一个字符串，格式为 xxx.yyy.zzz。

服务器在用户登录成功后生成JWT，客户端后续请求携带该Token，服务器通过验证签名确认其有效性，无需查库或维护会话状态。

安装必要的包

使用 golang-jwt/jwt 包来处理Token的生成与解析：

go get github.com/golang-jwt/jwt/v5

生成JWT Token

在用户登录验证通过后，创建并返回Token。

示例代码：

func generateToken(userID string) (string, error) {
    claims := jwt.MapClaims{
        "user_id": userID,
        "exp":     time.Now().Add(time.Hour * 72).Unix(), // 72小时过期
    }
token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
return token.SignedString([]byte("your-secret-key"))
}

注意：密钥（如 "your-secret-key"）应通过环境变量管理，避免硬编码。

验证JWT中间件

编写中间件拦截请求，检查Token有效性。

示例中间件：

func authMiddleware(next http.HandlerFunc) http.HandlerFunc {
    return func(w http.ResponseWriter, r *http.Request) {
        tokenString := r.Header.Get("Authorization")
        if tokenString == "" {
            http.Error(w, "Authorization header missing", http.StatusUnauthorized)
            return
        }
    // 去除 "Bearer " 前缀
    tokenString = strings.TrimPrefix(tokenString, "Bearer ")

    token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
        if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
            return nil, fmt.Errorf("unexpected signing method")
        }
        return []byte("your-secret-key"), nil
    })

    if err != nil || !token.Valid {
        http.Error(w, "Invalid or expired token", http.StatusUnauthorized)
        return
    }

    // 提取用户信息，可存入上下文
    if claims, ok := token.Claims.(jwt.MapClaims); ok {
        userID := claims["user_id"].(string)
        ctx := context.WithValue(r.Context(), "userID", userID)
        next.ServeHTTP(w, r.WithContext(ctx))
        return
    }

    http.Error(w, "Token claims invalid", http.StatusUnauthorized)
}
}

在路由中使用

将中间件应用到需要保护的接口：

http.HandleFunc("/login", loginHandler)
http.HandleFunc("/protected", authMiddleware(protectedHandler))
  

登录接口调用 generateToken 返回Token，受保护接口则自动验证Token。

基本上就这些。核心是生成Token、验证签名、提取信息。只要密钥安全、过期时间合理，JWT就能为Golang Web服务提供可靠的身份验证机制。