引言

在現(xiàn)代Web開發(fā)中，安全且可擴(kuò)展的認(rèn)證至關(guān)重要。 JSON Web Tokens (JWT) 已成為實(shí)現(xiàn)這一目標(biāo)的標(biāo)準(zhǔn)方法。在本篇部落格文章中，我們將探討JWT是什麼，它是如何運(yùn)作的，以及如何在Golang中實(shí)現(xiàn)它。

什麼是JWT？

JSON Web Token (JWT) 是一種緊湊的、URL安全的表示聲明的方式，用於在雙方之間安全地傳輸聲明。它通常用於在API和分散式系統(tǒng)中對(duì)使用者進(jìn)行身份驗(yàn)證和授權(quán)。

JWT的結(jié)構(gòu)

JWT由三個(gè)以點(diǎn) (.) 分隔的部分組成：

<code>Header.Payload.Signature</code>

範(fàn)例：

<code>eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWUsImlhdCI6MTUxNjIzOTAyMn0.reGQzG3OKdoIMWLDKOZ4TICJit3EW69cQE72E2CfzRE</code>

每個(gè)部分是：

1. Header (頭部): 指定令牌類型 (JWT) 和簽章演算法 (HS256)。

<code>{
  "alg": "HS256",
  "typ": "JWT"
}</code>

2. Payload (有效載荷): 包含聲明（使用者數(shù)據(jù)，例如ID、角色或名稱）。

<code>{
    "sub": "1234567890",
    "name": "John Doe",
    "admin": true,
    "iat": 1516239022
}</code>

3. Signature (簽名): 使用加密簽章程序來確保令牌的完整性。讓我們?cè)敿?xì)探討這一點(diǎn)。

簽署的建立方式：

• 連接編碼的Header和Payload：

<code>  base64UrlEncode(header) + "." + base64UrlEncode(payload)</code>

• 簽名結(jié)果：
  • 使用秘密金鑰或私鑰使用加密簽章演算法（例如，HMACSHA256、RS256）。
• 附加簽名： 最終的JWT變成

<code>  header.payload.signature</code>

JWT的工作原理

1. 客戶端將登入憑證傳送到伺服器。
2. 如果有效，伺服器將產(chǎn)生JWT並將其傳回給客戶端。
3. 客戶端儲(chǔ)存JWT（例如，在localStorage或cookie中）。
4. 對(duì)於每個(gè)請(qǐng)求，客戶端都在Authorization標(biāo)頭中包含JWT：Authorization: Bearer
5. 伺服器在每次請(qǐng)求時(shí)驗(yàn)證JWT。
   • 使用接收的Header和Payload重新計(jì)算簽章。
   • 將重新計(jì)算的簽章與接收的簽章進(jìn)行比較。

在Golang中實(shí)作JWT

Golang開發(fā)人員可以利用優(yōu)秀的golang-jwt/jwt函式庫來處理JWT。此庫提供了創(chuàng)建、簽署和驗(yàn)證JWT的強(qiáng)大功能。您可以在此處找到它。

但是，管理JWT通常需要重複的任務(wù)，例如配置簽署方法、解析令牌和驗(yàn)證聲明。為了簡化這一點(diǎn)，我編寫了一個(gè)自訂套件來包裝golang-jwt的功能。您可以在此處查看我的包。

以下是如何使用我的自訂JWT套件的範(fàn)例。

package main

import (
    "context"
    "fmt"
    "log"
    "time"

    "github.com/golang-jwt/jwt/v5"
    jwtutil "github.com/kittipat1413/go-common/util/jwt"
)

type MyCustomClaims struct {
    jwt.RegisteredClaims
    UserID string `json:"uid"`
}

func main() {
    ctx := context.Background()
    signingKey := []byte("super-secret-key")
    manager, err := jwtutil.NewJWTManager(jwtutil.HS256, signingKey)
    if err != nil {
        log.Fatalf("Failed to create JWTManager: %v", err)
    }

    // Prepare custom claims
    claims := &MyCustomClaims{
        RegisteredClaims: jwt.RegisteredClaims{
            ExpiresAt: jwt.NewNumericDate(time.Now().Add(15 * time.Minute)),
            Issuer:    "example-HS256",
            Subject:   "example-subject",
        },
        UserID: "abc123",
    }

    // Create the token
    tokenStringHS256, err := manager.CreateToken(ctx, claims)
    if err != nil {
        log.Fatalf("Failed to create token: %v", err)
    }
    fmt.Println("Generated Token:", tokenStringHS256)

    // Validate the token
    parsedClaims := &MyCustomClaims{}
    err = manager.ParseAndValidateToken(ctx, tokenStringHS256, parsedClaims)
    if err != nil {
        log.Fatalf("Failed to validate token: %v", err)
    }

    fmt.Printf("Token is valid! UserID: %s, Issuer: %s\n", parsedClaims.UserID, parsedClaims.Issuer)
}

您可以在GitHub上瀏覽我的套件的完整實(shí)作和文件：此處。

JWT最佳實(shí)踐

1. 使用HTTPS： 始終透過安全通道傳送令牌。
2. 設(shè)定過期時(shí)間： 包含合理的exp以限制令牌濫用。
3. 保護(hù)金鑰： 使用環(huán)境變數(shù)或金鑰管理員安全地儲(chǔ)存金鑰。
4. 避免在有效載荷中使用敏感資料： 只包含非關(guān)鍵資訊。
5. 使用刷新令牌： 將JWT與刷新令牌配對(duì)以安全地延長會(huì)話。

結(jié)論 ?

JWT是用於安全、無狀態(tài)身份驗(yàn)證的強(qiáng)大工具。簽名確保了令牌的完整性和真實(shí)性，使JWT成為API和分散式系統(tǒng)的理想選擇。使用像jwt-go這樣的函式庫，您可以輕鬆地在Golang專案中實(shí)作JWT。

? 支持我的工作 ?

如果您喜歡我的工作，請(qǐng)考慮請(qǐng)我喝杯咖啡！您的支持幫助我繼續(xù)創(chuàng)作有價(jià)值的內(nèi)容並分享知識(shí)。 ?

以上是Golang 中的 JWT 令牌：安全 API 開發(fā)人員指南的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！