当前位置：首页 > article >正文

【Golang学习之旅】使用 JWT 进行身份认证（Token 机制）

article 2025/2/12 21:44:00

文章目录

- 1. 引言
- 2. 什么是 JWT？
- - 2.1 JWT 概述
  - 2.2 JWT 的结构
  - 2.3 JWT 示例
- 3. 为什么选择 JWT 进行身份认证？
- - 3.1 JWT vs. Session 认证
  - 3.2 JWT 的优缺点
- 4. JWT 在 Go 语言中的实现
- - 4.1 安装 JWT 库
  - 4.2 生成 JWT Token
  - 4.3 解析 JWT Token
  - 4.4 验证 Token
- 5. JWT 的安全性优化
- - 5.1 使用 HTTPS 传输
  - 5.2 缩短 Token 有效期
  - 5.3 刷新 Token 机制
  - 5.4 服务器黑名单
  - 5.5 避免 JWT 过度滥用
- 6. 结论

1. 引言

在现代 Web 应用和微服务架构中，身份认证是确保系统安全的关键环节。传统的 Session + Cookie 方式在单体应用中表现良好，但在分布式系统中存在扩展性问题。而 JWT（JSON Web Token） 作为一种轻量级、安全、跨平台的认证方式，广泛应用于 API 鉴权和用户身份认证场景。

本篇文章将深入探讨 JWT 认证机制，包括其原理、优缺点、使用方式，以及在 Go 语言中的实现示例。同时，我们还会讨论如何优化 JWT 的安全性，以及在实际应用中常见的误区。

2. 什么是 JWT？

2.1 JWT 概述

JWT（JSON Web Token）是一种基于 JSON 格式的 无状态认证机制，广泛应用于 RESTful API 的身份认证。它的基本思想是：服务器在用户登录成功后，生成一个 Token（令牌），然后客户端在后续的请求中携带该 Token，服务器通过解析 Token 进行身份验证。

JWT 具有以下特点：

无状态：服务器不需要存储 Token 状态，所有信息都包含在 Token 内部。
跨平台：基于 JSON 格式，可以在任何支持 HTTP 的环境中使用。
自包含：Token 本身包含了身份验证相关的信息，减少了数据库查询。

2.2 JWT 的结构

JWT 由三部分组成，每一部分之间使用.号分隔：

Header.Payload.Signature

Header（头部）：
- 说明 Token 类型（通常是 JWT）。
- 指定签名算法（如 HMAC、RSA）。
Payload（载荷）：
- 存储用户信息（如 user_id、role）。
- 包含 Token 过期时间、签发时间等信息。
Signature（签名）：
- 用于校验 Token 的真实性，防止篡改。

2.3 JWT 示例

以下是一个 JWT Token 的示例：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvbiBEb2UiLCJpYXQiOjE1MTYyMzkwMjJ9.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

解析后的内容：

Header（Base64 编码）

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload（Base64 编码）

{
  "sub": "1234567890",
  "name": "Jon Doe",
  "iat": 1516239022
}

Signature（HMAC SHA256 签名）

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret
)

3. 为什么选择 JWT 进行身份认证？

3.1 JWT vs. Session 认证

认证方式	JWT	Session
存储位置	客户端	服务器
扩展性	易扩展，适合分布式	需要共享 Session
安全性	需妥善存储 Token	Session 存储在服务器
性能	服务器无状态	需要 Session 存取

3.2 JWT 的优缺点

✅ 优点

无状态，减少服务器存储负担。
跨域支持，适用于前后端分离架构。
信息完整性，通过签名防止篡改。

❌ 缺点

无法主动销毁，只能等 Token 过期。
Token 体积较大，占用更多带宽。
容易被截获，需要 HTTPS 保护。

4. JWT 在 Go 语言中的实现

4.1 安装 JWT 库

在 Go 语言中，我们可以使用 github.com/golang-jwt/jwt/v4 进行 JWT 处理：

go get github.com/golang-jwt/jwt/v4

4.2 生成 JWT Token

package main

import (
	"fmt"
	"time"

	"github.com/golang-jwt/jwt/v4"
)

// 定义密钥（用于签名）
var secretKey = []byte("my_secret_key")

// 生成 JWT Token
func GenerateToken(username string) (string, error) {
	// 创建 JWT 负载
	claims := jwt.MapClaims{
		"username": username,
		"exp":      time.Now().Add(time.Hour * 2).Unix(), // 过期时间 2 小时
		"iat":      time.Now().Unix(),                   // 签发时间
	}

	// 创建 Token
	token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)

	// 进行签名
	return token.SignedString(secretKey)
}

func main() {
	token, err := GenerateToken("admin")
	if err != nil {
		fmt.Println("生成 Token 失败:", err)
	} else {
		fmt.Println("JWT Token:", token)
	}
}

4.3 解析 JWT Token

func ParseToken(tokenString string) (*jwt.Token, error) {
	return jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
		// 确保使用的是正确的签名方法
		if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
			return nil, fmt.Errorf("unexpected signing method")
		}
		return secretKey, nil
	})
}

4.4 验证 Token

func ValidateToken(tokenString string) {
	token, err := ParseToken(tokenString)
	if err != nil {
		fmt.Println("Token 解析失败:", err)
		return
	}

	// 验证 Token 是否有效
	if claims, ok := token.Claims.(jwt.MapClaims); ok && token.Valid {
		fmt.Println("用户:", claims["username"])
		fmt.Println("Token 过期时间:", claims["exp"])
	} else {
		fmt.Println("Token 无效")
	}
}