golang-jwt für Go: Vollständige Anleitung mit Beispielen

Die Bibliothek golang-jwt (offizieller Name: github.com/golang-jwt/jwt/v5) ist der De-facto-Standard für die Implementierung von JSON Web Tokens (JWT) in der Programmiersprache Go. Sie bietet Entwicklern ein leistungsstarkes und flexibles Toolkit zum Erstellen, Signieren, Verifizieren und Dekodieren von JWT-Tokens. JWT ist eine kompakte und eigenständige Methode zur Übertragung von Informationen zwischen Parteien als JSON-Objekt, das aufgrund seiner digitalen Signatur verifiziert werden kann. JWT-Tokens werden häufig für Authentifizierung, Autorisierung und den sicheren Datenaustausch in REST-APIs, Microservice-Architekturen und Webanwendungen eingesetzt.

Warum wird diese Bibliothek benötigt? In der modernen Webentwicklung mit Go kommt fast jede Anwendung, die eine Benutzerauthentifizierung erfordert (z. B. API-Server, Microservices, Single-Sign-On-Systeme), mit JWT in Berührung. Die Bibliothek golang-jwt übernimmt die gesamte Komplexität: Generierung und Überprüfung von Signaturen (HMAC, RSA, ECDSA, EdDSA), Parsen von Headern und Payload, Verarbeitung von Standardfeldern (exp, iat, iss, sub) und benutzerdefinierten Claims. Ohne sie müsste man kryptografische Operationen und JSON-Parsing manuell implementieren, was fehleranfällig ist und Sicherheitslücken schaffen kann.

Die wichtigsten Vorteile von golang-jwt: vollständige Unterstützung der RFC-7519-Spezifikation, einfache Handhabung durch eine flüssige API, hohe Leistung (Nutzung der Standardbibliothek crypto), Erweiterbarkeit durch benutzerdefinierte Signiermethoden und Validatoren. Die Bibliothek wird von der Community aktiv gepflegt, hat über 7.000 Sterne auf GitHub und wird in Projekten wie Kubernetes, Docker, Grafana und vielen anderen eingesetzt.

Installation

Die Installation der Bibliothek erfolgt auf dem für Go üblichen Weg über go get. Stellen Sie sicher, dass Go in Version 1.18 oder höher installiert ist (empfohlen wird 1.21+).

go get github.com/golang-jwt/jwt/v5

Nach der Ausführung des Befehls erscheint die Abhängigkeit in Ihrer go.mod-Datei. Die Bibliothek wird wie folgt in den Code importiert:

import "github.com/golang-jwt/jwt/v5"

Schnellstart – Minimales Arbeitsbeispiel

Erstellen wir ein einfaches Beispiel: Generierung und Verifizierung eines JWT-Tokens mit einem symmetrischen Schlüssel (HMAC-SHA256).

package main

import (
    "fmt"
    "time"
    "github.com/golang-jwt/jwt/v5"
)

func main() {
    // 1. Geheimer Schlüssel (muss sicher aufbewahrt werden)
    secretKey := []byte("my-super-secret-key-12345")

    // 2. Token erstellen
    claims := jwt.MapClaims{
        "user_id": 12345,
        "role":    "admin",
        "exp":     time.Now().Add(time.Hour * 24).Unix(), // Gültigkeitsdauer 24 Stunden
        "iat":     time.Now().Unix(),                     // Erstellungszeitpunkt
    }

    token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
    tokenString, err := token.SignedString(secretKey)
    if err != nil {
        panic(err)
    }
    fmt.Println("Generierter Token:", tokenString)

    // 3. Token verifizieren und parsen
    parsedToken, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
        // Prüfen, ob die Signiermethode HMAC ist
        if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
            return nil, fmt.Errorf("unerwartete Signiermethode: %v", token.Header["alg"])
        }
        return secretKey, nil
    })

    if err != nil {
        panic(err)
    }

    // 4. Claims extrahieren
    if claims, ok := parsedToken.Claims.(jwt.MapClaims); ok && parsedToken.Valid {
        fmt.Printf("Benutzer-ID: %v\n", claims["user_id"])
        fmt.Printf("Rolle: %v\n", claims["role"])
    } else {
        fmt.Println("Token ist ungültig")
    }
}