当前位置： 首页 > article >正文

Golang Gin系列-7：认证和授权

article 2025/1/29 3:55:08

在本章中，我们将探讨Gin框架中身份验证和授权的基本方面。这包括实现基本的和基于令牌的身份验证，使用基于角色的访问控制，应用中间件进行授权，以及使用HTTPS和漏洞防护保护应用程序。

在这里插入图片描述

实现身份认证

Basic 认证

Basic 认证是内置于HTTP协议中的简单身份验证方案。它包括在每个请求中发送用户名和密码。尽管它很容易实现，但出于安全考虑，不建议将其用于生产环境应用程序。

示例：Basic 认证

package main

import (
    "github.com/gin-gonic/gin"
    "net/http"
)

func main() {
    r := gin.Default()

    authorized := r.Group("/", gin.BasicAuth(gin.Accounts{
        "admin": "password123",
    }))

    authorized.GET("/protected", func(c *gin.Context) {
        user := c.MustGet(gin.AuthUserKey).(string)
        c.JSON(http.StatusOK, gin.H{"user": user, "message": "Welcome to the protected route!"})
    })

    r.Run()
}

在这个例子中，杜松子酒。BasicAuth中间件检查有效的用户名和密码。如果凭证正确，则继续请求；否则，它返回401 Unauthorized状态。

Token-based认证

Token-based认证，特别是使用JSON Web令牌（JWT），是一种更安全、可扩展的方法。jwt是无状态的，这意味着服务器不需要存储会话信息。
在这里插入图片描述

示例：Token-based认证

在本例中，“login”端点为有效凭证生成JWT，“authenticateJWT”中间件检查token的有效性。

package main

import (
    "github.com/gin-gonic/gin"
    "github.com/dgrijalva/jwt-go"
    "net/http"
    "time"
)

var jwtKey = []byte("my_secret_key")

type Claims struct {
    Username string `json:"username"`
    jwt.StandardClaims
}

func main() {
    r := gin.Default()

    r.POST("/login", login)
    r.GET("/protected", authenticateJWT(), protected)

    r.Run()
}

func login(c *gin.Context) {
    var creds struct {
        Username string `json:"username"`
        Password string `json:"password"`
    }

    if err := c.ShouldBindJSON(&creds); err != nil {
        c.JSON(http.StatusBadRequest, gin.H{"error": "Invalid request"})
        return
    }

    if creds.Username == "admin" && creds.Password == "password123" {
        expirationTime := time.Now().Add(5 * time.Minute)
        claims := &Claims{
            Username: creds.Username,
            StandardClaims: jwt.StandardClaims{
                ExpiresAt: expirationTime.Unix(),
            },
        }

        token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
        tokenString, err := token.SignedString(jwtKey)
        if err != nil {
            c.JSON(http.StatusInternalServerError, gin.H{"error": "Could not generate token"})
            return
        }

        c.JSON(http.StatusOK, gin.H{"token": tokenString})
    } else {
        c.JSON(http.StatusUnauthorized, gin.H{"error": "Invalid credentials"})
    }
}

func authenticateJWT() gin.HandlerFunc {
    return func(c *gin.Context) {
        tokenString := c.GetHeader("Authorization")
        claims := &Claims{}

        token, err := jwt.ParseWithClaims(tokenString, claims, func(token *jwt.Token) (interface{}, error) {
            return jwtKey, nil
        })

        if err != nil || !token.Valid {
            c.JSON(http.StatusUnauthorized, gin.H{"error": "Invalid token"})
            c.Abort()
            return
        }

        c.Set("username", claims.Username)
        c.Next()
    }
}

func protected(c *gin.Context) {
    username := c.MustGet("username").(string)
    c.JSON(http.StatusOK, gin.H{"message": "Welcome to the protected route!", "user": username})
}
  • r.GET("/protected", authenticateJWT(), protected)：定义 GET 请求的路由/protected，这是受保护的路由，请求会先经过authenticateJWT中间件进行 JWT 验证，验证通过后再由protected函数处理。
  • login()方法首先定义一个匿名结构体creds用于接收客户端发送的 JSON 格式的用户名和密码。
  • c.ShouldBindJSON(&creds)：尝试将客户端发送的 JSON 数据绑定到creds结构体上，如果绑定失败则返回 HTTP 400 错误。
  • 检查用户名和密码是否正确，如果正确则生成一个 JWT。
    • expirationTime：设置 JWT 的过期时间为当前时间加上 5 分钟。
    • claims：创建一个Claims结构体实例，包含用户名和过期时间。
    • jwt.NewWithClaims(jwt.SigningMethodHS256, claims)：使用 HS256 算法创建一个新的 JWT。
    • token.SignedString(jwtKey)：使用jwtKey对 JWT 进行签名，生成 JWT 字符串。
    • 如果签名成功，将 JWT 字符串作为响应返回给客户端；否则返回 HTTP 500 错误。
  • 如果用户名或密码不正确，返回 HTTP 401 错误。

授权技术

在这里插入图片描述

基于角色的访问控制

RBAC （Role-based access control）是一种基于角色的访问控制技术。这种方法可以有效地管理不同级别用户的权限。

示例：基于角色的访问控制

package main

import (
    "github.com/gin-gonic/gin"
    "net/http"
)

func main() {
    r := gin.Default()

    admin := r.Group("/admin", roleMiddleware("admin"))
    admin.GET("/dashboard", adminDashboard)

    r.Run()
}

func roleMiddleware(role string) gin.HandlerFunc {
    return func(c *gin.Context) {
        userRole := c.GetHeader("Role")
        if userRole != role {
            c.JSON(http.StatusForbidden, gin.H{"error": "Access forbidden"})
            c.Abort()
            return
        }
        c.Next()
    }
}

func adminDashboard(c *gin.Context) {
    c.JSON(http.StatusOK, gin.H{"message": "Welcome to the admin dashboard!"})
}

在这个例子中，roleMiddleware 检查用户是否有合适的角色来访问路由。

授权的中间件

中间件功能可用于集中处理授权逻辑，从而更容易管理整个应用程序的访问控制。

示例：授权的中间件

package main

import (
    "github.com/gin-gonic/gin"
    "net/http"
)

func main() {
    r := gin.Default()
    r.Use(authMiddleware)
    r.GET("/profile", userProfile)
    r.Run()
}

func authMiddleware(c *gin.Context) {
    token := c.GetHeader("Authorization")
    if token != "valid-token" {
        c.JSON(http.StatusUnauthorized, gin.H{"error": "Unauthorized"})
        c.Abort()
        return
    }
    c.Next()
}

func userProfile(c *gin.Context) {
    c.JSON(http.StatusOK, gin.H{"message": "User profile"})
}

在本例中，authMiddleware检查请求是否为有效的授权 token。

应用程序安全

HTTPS设置

设置HTTPS对于通过加密客户机和服务器之间交换的数据来保护应用程序至关重要。

示例：HTTPS设置

要设置HTTPS，你需要有效的SSL证书。出于开发目的，可以使用自签名证书。

package main

import (
    "github.com/gin-gonic/gin"
    "log"
)

func main() {
    r := gin.Default()

    // Your routes here

    // Replace with your certificate and key files
    err := r.RunTLS(":443", "server.crt", "server.key")
    if err != nil {
        log.Fatal("Failed to start server: ", err)
    }
}

在本例中，RunTLS方法使用提供的证书和密钥文件以HTTPS启动服务器。

预防常见安全漏洞

防止SQL注入

始终使用参数化查询或ORM库来防止SQL注入攻击。

package main

import (
    "github.com/gin-gonic/gin"
    "net/http"
    "database/sql"
    _ "github.com/go-sql-driver/mysql"
)

func main() {
    r := gin.Default()
    db, err := sql.Open("mysql", "user:password@/dbname")
    if err != nil {
        panic(err)
    }

    r.GET("/user/:id", func(c *gin.Context) {
        id := c.Param("id")
        var name string
        err := db.QueryRow("SELECT name FROM users WHERE id = ?", id).Scan(&name)
        if err != nil {
            c.JSON(http.StatusInternalServerError, gin.H{"error": "User not found"})
            return
        }
        c.JSON(http.StatusOK, gin.H{"name": name})
    })

    r.Run()
}

在本例中，查询使用参数化语句来防止SQL注入。这里的 ? 是占位符，db.QueryRow 方法会先把 SQL 语句发送给数据库进行预编译，之后再把 id 作为参数传递给数据库。数据库会把参数当作普通的数据来处理，而不会将其作为 SQL 语句的一部分进行解析，这样就能有效防止恶意用户通过构造特殊输入来改变 SQL 语句的逻辑，进而避免 SQL 注入。

如果代码没有使用预编译语句，而是直接把用户输入拼接到 SQL 语句中，例如：

query := "SELECT name FROM users WHERE id = " + id
err := db.QueryRow(query).Scan(&name)

这种情况下，若恶意用户将 id 设置为特殊的值，如 1 OR 1=1，那么拼接后的 SQL 语句就会变成 SELECT name FROM users WHERE id = 1 OR 1=1，这样会使查询条件恒为真，从而可能导致数据库中的敏感信息被泄露，这就是 SQL 注入的危害。

防止跨站脚本（XSS）

清除任何用户输入以防止XSS攻击。使用像“blumonday”这样的库来清理HTML输入。

package main

import (
    "github.com/gin-gonic/gin"
    "github.com/microcosm-cc/bluemonday"
)

func main() {
    r := gin.Default()

    r.POST("/comment", func(c *gin.Context) {
        comment := c.PostForm("comment")
        policy := bluemonday.UGCPolicy()
        sanitizedComment := policy.Sanitize(comment)
        c.JSON(200, gin.H{"comment": sanitizedComment})
    })

    r.Run()
}

在本例中，用户输入在使用之前被清理。

最后总结

通过遵循本章概述的实践，你可以在Gin应用程序中实现健壮的身份验证和授权机制，确保它们是安全可靠的。Gin，愈学习愈快乐， Go!


http://www.kler.cn/a/520860.html

相关文章：

  • 【shell工具】编写一个批量扫描IP地址的shell脚本
  • Linux初识——基本指令（2）
  • 解决双系统引导问题：Ubuntu 启动时不显示 Windows 选项的处理方法
  • 循环神经网络（RNN）+pytorch实现情感分析
  • 云计算架构学习之LNMP架构部署、架构拆分、负载均衡-会话保持
  • K8S部署DevOps自动化运维平台
  • 小白买车记
  • 磐维数据库PanWeiDB2.0日常维护
  • ORB-SLAM2源码学习：Initializer.cc(11): Initializer::ReconstructH用H矩阵恢复R, t和三维点
  • fatal error C1083: ޷[特殊字符]ļ: openssl/opensslv.h: No such file or directory
  • 软件质量与测试报告3-功能测试 JUnit与覆盖测试 EclEmma
  • 深度学习｜表示学习｜卷积神经网络｜非线形如何帮助卷积操作｜11
  • 寒假学web--day09
  • 堆的简要分析与实现（Java）
  • CentOS/Linux Python 2.7 离线安装 Requests 库解决离线安装问题。
  • UE学习日志#12 Niagara特效大致了解（水文，主要是花时间读了读文档和文章）
  • 重回C语言之老兵重装上阵（十三）C 预处理器
  • 2025美赛美国大学生数学建模竞赛A题完整思路分析论文（43页）（含模型、可运行代码和运行结果）
  • C# 探秘：PDFiumCore 开启PDF读取魔法之旅
  • Apache Flink 概述学习笔记
  • java基础-容器
  • ORACLE-主备备-Failover
  • 每日 Java 面试题分享【第 12 天】
  • Ansible自动化运维实战--yaml的使用和配置（7/8）
  • 企业知识管理平台的对比分析与优化策略探讨
  • 蓝桥杯模拟算法：蛇形方阵