Go (Golang) 中的授权与认证——代码示例

Go (Golang) 中的授权与认证：关键工具概览

认证（验证用户身份）和授权（验证访问权限）是任何 Web 应用程序的基础组件。在 Go (Golang) 生态系统中，有多个经过验证的库，可以快速、安全且以最少的代码实现这些机制。在本文中，我们将介绍四种主要方法：密码哈希、JWT 令牌、会话管理和 OAuth2。

1. 密码哈希：`golang.org/x/crypto/bcrypt`

任何认证的第一步都是安全地存储密码。切勿以明文形式存储密码！Go 标准库中的 bcrypt 包提供了一种经过验证的、具有自适应成本（cost factor）的哈希算法。

安装：

go get golang.org/x/crypto/bcrypt

注册和登录示例：

package main

import (    "fmt"    "golang.org/x/crypto/bcrypt")

func hashPassword(password string) (string, error) {    bytes, err := bcrypt.GenerateFromPassword([]byte(password), bcrypt.DefaultCost)    return string(bytes), err}

func checkPasswordHash(password, hash string) bool {    err := bcrypt.CompareHashAndPassword([]byte(hash), []byte(password))    return err == nil}

func main() {    password := "mySecretP@ssw0rd"    hash, _ := hashPassword(password)

    fmt.Println("Hash:", hash)

    // 验证正确密码    match := checkPasswordHash(password, hash)    fmt.Println("Password match:", match) // true

    // 验证错误密码    match = checkPasswordHash("wrong", hash)    fmt.Println("Wrong password match:", match) // false}

重要提示： bcrypt.DefaultCost 等于 10。如需更高的安全级别（但速度较慢），请使用 12-14 的值。切勿使用小于 10 的 cost。

2. JWT（JSON Web Tokens）—— `github.com/golang-jwt/jwt/v5`

JWT 是一种在各方之间以 JSON 对象形式传输数据的紧凑方式。非常适合 REST API 和微服务。golang-jwt/jwt 包是最流行且积极维护的。

安装：

go get github.com/golang-jwt/jwt/v5

创建和验证 JWT 的示例：

package main

import (    "fmt"    "time"    "github.com/golang-jwt/jwt/v5")

var jwtSecret = []byte("your-secret-key-keep-it-safe")

func createToken(userID string) (string, error) {    claims := jwt.MapClaims{        "user_id": userID,        "exp":     time.Now().Add(24 * time.Hour).Unix(),    }    token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)    return token.SignedString(jwtSecret)}

func verifyToken(tokenString string) (string, error) {    token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {        if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {            return nil, fmt.Errorf("unexpected signing method: %v", token.Header["alg"])        }        return jwtSecret, nil    })    if err != nil {        return "", err    }    if claims, ok := token.Claims.(jwt.MapClaims); ok && token.Valid {        return claims["user_id"].(string), nil    }    return "", fmt.Errorf("invalid token")}

func main() {    token, _ := createToken("user123")    fmt.Println("JWT:", token)

    userID, err := verifyToken(token)    if err != nil {        fmt.Println("Error:", err)    } else {        fmt.Println("Authenticated user:", userID)    }}

建议： 将密钥存储在环境变量中，而不是代码中。对于生产环境，请使用非对称加密（RS256）。