Jwt鉴权操作

🔥《Go语言实战：手把手教你用JWT实现API鉴权（附完整可运行代码）》🔥

“你的API在裸奔吗？” —— 作为开发者最不想看到的，就是自己辛苦开发的接口被随意调用。本文将用最接地气的方式，带你用Go语言实现生产级JWT鉴权方案。无需复杂理论，5分钟上手，代码可直接用于你的微服务项目！

一、JWT是什么？为什么必须掌握？

JWT（JSON Web Token）就像数字身份证：

🍔 结构：Header（头）.Payload（载荷）.Signature（签名）
✅ 优势：无状态、跨语言、自包含用户信息
🔐 场景：API鉴权、单点登录、微服务间认证

二、手撸代码四步走

1. 安装依赖（高性能JWT库）

go get github.com/golang-jwt/jwt/v5

2. 生成JWT令牌（含过期时间）

// 定义自定义Claims
type MyClaims struct {
    UserID uint `json:"user_id"`
    jwt.RegisteredClaims
}

func GenerateToken(userID uint, secret string) (string, error) {
    claims := MyClaims{
        UserID: userID,
        RegisteredClaims: jwt.RegisteredClaims{
            ExpiresAt: jwt.NewNumericDate(time.Now().Add(24 * time.Hour)), // 24小时过期
        },
    }

    token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
    return token.SignedString([]byte(secret))
}

3. 验证中间件（Gin框架示例）

func strictTokenExtraction(authHeader string) (string, error) {
	parts := strings.Split(authHeader, " ")
	if len(parts) != 2 || parts[0] != "Bearer" {
		return "", errors.New("invalid authorization format")
	}
	return parts[1], nil
}

func AuthMiddleware(secret string) gin.HandlerFunc {
	return func(c *gin.Context) {
		// 从Header获取token
		tokenString := c.GetHeader("Authorization")
		if tokenString == "" {
			c.AbortWithStatusJSON(401, gin.H{"error": "未提供认证令牌"})
			return
		}
		tokenString, err := strictTokenExtraction(tokenString)
		if err != nil {
			c.AbortWithStatusJSON(401, gin.H{"error": "无效的认证令牌!"})
			return
		}

		// 解析并验证
		token, err := jwt.ParseWithClaims(
			tokenString,
			&MyClaims{},
			func(token *jwt.Token) (interface{}, error) {
				return []byte(secret), nil
			},
		)

		// 处理错误情况
		if err != nil || !token.Valid {
			if err != nil {
				log.Print(err)
			}
			c.AbortWithStatusJSON(401, gin.H{"error": "无效的认证令牌!!"})
			return
		}

		// 提取Claims
		if claims, ok := token.Claims.(*MyClaims); ok {
			c.Set("userID", claims.UserID) // 将用户ID存入上下文
		}

		c.Next()
	}
}

4. 完整使用示例（登录+鉴权路由）

func main() {
	r := gin.Default()
	jwtSecret := "dkkflsddd" // 生产环境应从配置读取

	// 登录路由
	r.POST("/login", func(c *gin.Context) {
		// 验证用户名密码（示例省略）
		userID := 123 // 假设验证通过

		token, _ := GenerateToken(userID, jwtSecret)
		c.JSON(200, gin.H{"token": token})
	})

	// 需要鉴权的路由
	authGroup := r.Group("/api")
	authGroup.Use(AuthMiddleware(jwtSecret))
	{
		authGroup.GET("/profile", func(c *gin.Context) {
			userID := c.MustGet("userID").(int)
			c.JSON(200, gin.H{"user_id": userID})
			// c.JSON(200, gin.H{"data": "用户私有数据"})
		})
	}

	r.Run(":8080")
}

三、测试你的JWT系统

# 登录获取token
curl -X POST http://localhost:8080/login

# 使用token访问受保护路由
curl -H "Authorization: Bearer " http://localhost:8080/api/profile

四、必须知道的6个安全要点

🔑 密钥管理：不要硬编码！使用环境变量或配置中心
⏳ 有效期：根据业务设置合理过期时间（建议2小时以内）
🔄 刷新机制：通过refresh token实现无感续期
🛡️ HTTPS：必须！防止token被截获
🗑️ 黑名单：实现token注销机制
💣 防CSRF：敏感操作需二次验证

五、性能优化技巧

🚀 使用ECDSA算法代替HS256（更适合分布式系统）
📦 在Payload中存储必要信息，避免频繁查库
⚖️ 平衡token大小与安全性（建议不超过4KB）

现在，你的Go服务已经武装上了坚不可摧的JWT铠甲！ 快把代码复制到你的项目中，让非法请求无处遁形～

实战升级： 在评论区留言你的业务场景，我将挑选典型案例解析如何定制JWT方案！

亭哥的技术.博客