44.jwt在go中的使用及原理

原创 已于 2023-12-05 19:36:15 修改 · 935 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#golang #开发语言 #后端

于 2023-11-27 00:22:17 首次发布
本文介绍了JWT在Go语言中的应用，包括JWT的概念、组成部分、生成过程（使用HMACSHA256和自定义payload），以及解析和验证的步骤。重点强调了加盐加密和安全实践的重要性。

文章目录

代码地址：https://gitee.com/lymgoforIT/golang-trick/tree/master/26-jwt

一、JWT是什么

JWT（JSON Web Token） 是一种基于 JSON 的开放标准，用于在网络应用间传递声明。JWT可安全地将用户身份验证和授权数据作为 JSON 对象在各个应用程序之间传递。目前JWT 是一种非常流行的身份验证和授权机制，被广泛应用于各种互联网应用中。

JWT 主要由三部分组成：Header，Payload 和Signature。

  • Header 包含了两部分信息：令牌的类型（即 JWT）和所使用的算法，通常采用的算法是 HMAC SHA256 或 RSA。

  • Payload（载荷）包含了要传递的信息，可以包括用户 ID、用户角色、过期时间等信息。payload中一般会包含jwt.StandardClaims,该结构体字段有

iss (issuer)（发行人）
sub (subject)（主题）
aud (audienct) （受众）
exp (expiration time)（到期时间）
nbf (not before)（不早于 生效时间）
iat (issued at)（发布于）
jti (jwt id)（JWT ID）
  • Signature（签名）是使用私钥对 Header 和 Payload 进行签名生成的，用来验证消息确实是由发送方发出的，以及在传输过程中没有被篡改过。

JWT 的优点包括：

  • 无状态：JWT 本身就包含了用户信息，不需要再去查询数据库或者其他的存储设备。
  • 安全性：由于JWT包含了签名，所以一旦JWT被篡改，接收方就能够检测到。
  • 便捷性：JWT 的格式是轻量级的，容易传输，可以通过 URL、POST 参数或者在HTTP header中传递。

使用 JWT 的过程可以分为以下几个步骤：

  • 在服务器端生成一个 JWT，包括 Header、Payload 和 Signature。
  • 客户端在需要验证用户身份的请求中，将 JWT 添加到 HTTP header 中。
  • 服务器收到请求后，从 HTTP header 中提取 JWT，并对其进行验证，包括签名验证、Payload 中的信息验证等。如果验证成功，服务器返回请求所需的数据。如果验证失败，则拒绝请求。
    在这里插入图片描述

二、go生成jwt

package main

import (
	"github.com/golang-jwt/jwt/v4"
	"time"
)

const (
	ExpireDuration = 3600 * time.Second
	JwtSecretKey   = "abc123"
)

type MyClaims struct {
	Id       int64  `json:"id"`
	Username string `json:"username"`
	jwt.StandardClaims
}

// 生成token
func GenerateToken(id int64, username string) (string, error) {
	// 定义token的过期时间
	expireTime := time.Now().Add(ExpireDuration).Unix()

	// 创建一个自定义的Claims
	myClaims := &MyClaims{
		Id:       id,
		Username: username,
		StandardClaims: jwt.StandardClaims{
			Audience:  "",
			ExpiresAt: expireTime,
			Id:        "",
			IssuedAt:  time.Now().Unix(),
			Issuer:    "lym",
			NotBefore: 0,
			Subject:   "",
		},
	}

	// 使用 JWT 签名算法生成token
	token := jwt.NewWithClaims(jwt.SigningMethodHS256, myClaims)

	// 将token进行加盐加密
	// 注意：该方法参数虽然是interface{}，但是必须传入[]byte类型的参数
	tokenString, err := token.SignedString([]byte(JwtSecretKey))
	if err != nil {
		return "", err
	}

	return tokenString, nil

}

详细分析:

type MyClaims struct {
	Id       int64  `json:"id"`
	Username string `json:"username"`
	jwt.StandardClaims
}

该结构体用于定义 JWT 的 payload，也就是 JWT 载荷中存储的信息。其中，Id 和 Username 用于标识用户身份，jwt.StandardClaims 则是 JWT 的标准声明，包含了 JWT 的一些基本信息，比如过期时间、签发时间等。在创建 JWT 时，我们需要将这个结构体传入，以便生成 JWT 的 payload。在验证 JWT 时，我们也需要解析出这个结构体，以便获取 JWT 中存储的用户身份信息。

StandardClaims中的信息用于控制JWT token的生命周期和有效性。
ExpiresAt表示JWT token的过期时间，超过这个时间后，JWT token将失效，无法再被使用。IssuedAt表示JWT token的签发时间，Issuer表示JWT token的签发者，这些信息可以帮助验证JWT token的合法性。

注：在MyClaims结构体中通过匿名嵌入jwt.StandardClaims，便是让MyClaims继承了jwt.StandardClaims，从而实现了Claims接口，可以作为 jwt.NewWithClaims函数的第二个参数，如下：

在这里插入图片描述

type Claims interface {
	Valid() error
}

// NewWithClaims creates a new Token with the specified signing method and claims.
func NewWithClaims(method SigningMethod, claims Claims) *Token {
	return &Token{
		Header: map[string]interface{}{
			"typ": "JWT",
			"alg": method.Alg(),
		},
		Claims: claims,
		Method: method,
	}
}

另外一种常见的方式是直接使用jwt.MapClaims，它的定义为type MapClaims map[string]interface{}，也实现了Claims接口，使用方式如下

// 生成token
func GenerateToken(id int64, username string) (string, error) {
	

	// 使用 JWT 签名算法生成token
	token := jwt.NewWithClaims(jwt.SigningMethodHS256, jwt.MapClaims{
		"id":       id,
		"username": username,
	})

	// 将token进行加盐加密
	tokenString, err := token.SignedString(JwtSecretKey)
	if err != nil {
		return "", err
	}

	return tokenString, nil

}

为何要加盐加密？

加盐加密的目的是为了增加数据的安全性，防止攻击者对加密后的数据进行破解。加盐是指在原始数据的基础上加上一些随机的字符串或数字，使得同样的原始数据加盐后的结果是不同的。加密是指将原始数据和盐一起通过某种加密算法进行加密，得到一串密文。密文是不能被破解的，只能通过使用同样的盐和加密算法对原始数据进行加密后得到相同的密文来验证数据的真实性。

在JWT中，加盐加密可以有效地防止攻击者伪造token，从而保障应用的安全性。具体地，JWT在生成token时会使用指定的秘钥对payload进行签名，这个秘钥就是加盐的一部分。只有使用相同的秘钥才能对payload进行解密并验证token的真实性。因此，只有知道秘钥的人才能生成有效的token，从而有效地保护了应用的安全性。

jwt中给token加盐的方法有一个注意点：必须传入[]byte类型的参数

// 注意：该方法参数虽然是interface{}，但是必须传入[]byte类型的参数
tokenString, err := token.SignedString([]byte(JwtSecretKey))

原因：
进入SignedString()的源码，可以看出SignedString使用SigningMethodHS256方式，结合一个随机值（JwtSecretKey）进行加密，进入t.Method.Sign(sstr, key)中查看，找到SigningMethodHS256所属的SigningMethodHMAC类型函数：

// Implements the Sign method from SigningMethod for this signing method.
// Key must be []byte
func (m *SigningMethodHMAC) Sign(signingString string, key interface{}) (string, error) {
	if keyBytes, ok := key.([]byte); ok {
		if !m.Hash.Available() {
			return "", ErrHashUnavailable
		}

		hasher := hmac.New(m.Hash.New, keyBytes)
		hasher.Write([]byte(signingString))

		return EncodeSegment(hasher.Sum(nil)), nil
	}

	return "", ErrInvalidKeyType
}

注释中明确说明key必须是[]byte类型。代码中也是只针对[]byte类型进行处理：key.([]byte)。

单元测试

package main

import "testing"

func TestGenerateToken(t *testing.T) {
	token, err := GenerateToken(1, "lym")
	if err != nil {
		t.Fatal(err)
	}
	t.Logf(token)
}

运行之后输出：

稍后验证解析token时就可以直接用本次生成的

=== RUN   TestGenerateToken
    main_test.go:10: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6MSwidXNlcm5hbWUiOiJseW0iLCJleHAiOjE3MDEwMTgzMTMsImlhdCI6MTcwMTAxNDcxMywiaXNzIjoibHltIn0.0YeCw4Nxl7QCXtt_7YaXXVwaUu7UJbGoMAJaEZDYZTA
--- PASS: TestGenerateToken (0.00s)
PASS

Process finished with the exit code 0

在这里插入图片描述

三、go解析jwt

func ParseToken(tokenString string) (*MyClaims, error) {
	// 解析 token
	token, err := jwt.ParseWithClaims(tokenString, &MyClaims{}, func(token *jwt.Token) (interface{}, error) {
		// 注意：虽然返回值是interface，但是这里必须返回[]byte类型，否则运行时会报错key is of invalid type
		return []byte(JwtSecretKey), nil
	})
	if err != nil {
		return nil, err
	}

	if myClaims, ok := token.Claims.(*MyClaims); ok && token.Valid {
		return myClaims, nil
	} else {
		return nil, jwt.NewValidationError("invalid token", jwt.ValidationErrorClaimsInvalid)
	}
}

jwt.ParseWithClaims()函数用于解析并验证JWT token，并提取出其中的MyClaims数据结构。该函数接受三个参数：

  • tokenString: 要解析的JWT token字符串。
  • claims: 一个结构体指针，用于接收从JWT token中解析出来的Claims数据，赋值给返回值token的Claims字段。
// Token represents a JWT Token.  Different fields will be used depending on whether you're
// creating or parsing/verifying a token.
type Token struct {
	Raw       string                 // The raw token.  Populated when you Parse a token
	Method    SigningMethod          // The signing method used or to be used
	Header    map[string]interface{} // The first segment of the token
	Claims    Claims                 // The second segment of the token
	Signature string                 // The third segment of the token.  Populated when you Parse a token
	Valid     bool                   // Is the token valid?  Populated when you Parse/Verify a token
}
  • keyFunc: 一个回调函数，用于验证JWT token的签名。在函数内部，可以对JWT token签名进行验证，比如检查签名是否正确、是否过期等等。该函数需要返回一个interface{}类型的值，表示用于验证签名的密钥。如果验证成功，应该返回一个非空的密钥；如果验证失败，应该返回一个nil值和相应的错误信息。

注意：虽然keyFunc第一个返回值是interface{}，但是这里必须返回[]byte类型，否则运行时会报错key is of invalid type

	// 解析 token
	token, err := jwt.ParseWithClaims(tokenString, &MyClaims{}, func(token *jwt.Token) (interface{}, error) {
		// 注意：虽然返回值是interface{}，但是这里必须返回[]byte类型，否则运行时会报错key is of invalid type
		return []byte(JwtSecretKey), nil
	})

在上述代码中，&MyClaims{}作为第二个参数传递给了jwt.ParseWithClaims()函数，这表示从JWT token中解析出的Claims数据将被解码为该结构体类型。第三个参数是一个匿名函数，用于验证JWT token的签名，JwtSecretKey被作为用于验证签名的密钥传递。如果JWT token验证通过，jwt.ParseWithClaims()函数将返回一个*jwt.Token类型的指针，其中包含了解码后的Claims数据，以及一些其他的元数据。如果验证失败，函数将返回相应的错误信息。

单元测试：

func TestParseToken(t *testing.T) {
	c, err := ParseToken("eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6MSwidXNlcm5hbWUiOiJseW0iLCJleHAiOjE3MDEwMTgzMTMsImlhdCI6MTcwMTAxNDcxMywiaXNzIjoibHltIn0.0YeCw4Nxl7QCXtt_7YaXXVwaUu7UJbGoMAJaEZDYZTA")
	if err != nil {
		t.Fatal(err)
	}
	t.Log(*c)
}

运行后输出：

=== RUN   TestParseToken
    main_test.go:18: {1 lym { 1701018313  1701014713 lym 0 }}
--- PASS: TestParseToken (0.00s)
PASS

Process finished with the exit code 0

在这里插入图片描述

四、总结

JWT（JSON Web Token）是一种用于身份验证的开放标准，它通过在用户和服务器之间传递被加密的 JSON 对象来安全地传输信息。JWT 由三个部分组成：头部、载荷和签名。其中，头部包含加密算法和 token 类型等信息，载荷包含存储在token中的用户信息，签名用于验证token的真实性和完整性。

使用 JWT 时需要注意以下几点：

  • 避免在 token中存储敏感信息，比如密码、银行卡号等。
  • 需要使用安全的算法来签名和加密 token，比如使用 HMAC 或 RSA 加密。
  • token中包含的用户信息不应该过多，只保留必要的信息即可。
  • 在使用 JWT 进行身份验证时，需要防止令牌被盗用。可以采用一些技术手段，比如限制令牌的有效期、限制令牌的使用次数等。
  • 在生成 token时需要注意加盐加密，以提高安全性。
  • 在解析 token时需要对 token进行校验，以保证 token的真实性和完整性。
  • 最后，需要注意遵循安全的开发实践，保障应用的安全性。
Go 中 JWT 身份验证指南
分享身边生活经验blog
10-13 2218
JSON Web 令牌 (JWT) 是处理在线身份验证的流行方法，您可以使用任何服务器端编程语言实现 JWT 身份验证。对于一般的 JWT 阅读背景知识，我建议通过 LogRocket 博客上的这些文章了解更多关于JWT、最佳实践和使用 JWT 保护 RESTful API的信息。本文旨在帮助您开始使用该包在您的 Go Web 应用程序中实现 JWT 身份验证。golang-jwt由于其特性和易用性，该包是在 Go 中实现 JWT 最流行的包。该包提供了生成和验证 JWT 的功能。
Gin中使用jwt-go实现JWT鉴权登陆
mjiarong的博客
10-01 2765
JWT全称Json web token ，是一种用于通信双方之间传递安全信息的简洁的、URL安全的表述性声明规范，是目前最流行的跨域身份验证解决方案。JWT基于token的鉴权机制类似于http协议也是无状态的，它不需要在服务端去保留用户的认证信息或者会话信息，一旦用户完成了登陆，在接下来的每个请求中都会包含JWT，可以用来验证用户身份以及对路由，服务和资源的访问权限的验证。由于它的开销非常小，可以轻松的在不同域名的系统中传递，这也为应用的扩展提供了便利。JWT 以 JSON 对象的形式安全传递信息。
JWT介绍&go实现JWT
weixin_63860405的博客
07-19 1217
JSON Web Token（JWT） 是一种开放标准 （RFC 7519），它定义了一种紧凑且独立的方式，用于将信息作为 JSON 对象在各方之间安全地传输。此信息可以验证和信任，因为它是数字签名的。可以使用密钥（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对 JWT 进行签名。
gh_mirrors/jw/jwt-go扩展开发：自定义SigningMethod实现指南
最新发布
gitblog_00336的博客
10-17 986
你是否在使用JWT（JSON Web Token，一种基于JSON的开放标准）时遇到过标准签名算法无法满足特殊安全需求的情况？本文将带你一步步实现自定义的签名方法，让你在使用[jw/jwt-go](https://link.gitcode.com/i/a316cc7c4bc62e2e6152b1b8b5217957)库时能够灵活应对各种加密场景。读完本文后，你将掌握如何设计、实现和注册自己的签名算...
go语言使用jwt认证
sywdebug的博客
04-03 6723
这几天在学习nodejs，进一步了解npm，学习过程中解开了以前的一个疑惑，以前不知道token可以携带信息，只以为是用来做对比的，学到了jwt身份认证，知道了如何使用的，感觉很好用，但是我不用nodejs开发，所以有自己去看了下go的，做下记录 刚学，博客内容写的可能不大对，因为基本都是自己的理解，术语用的可能也不到位，但是用起来倒是没问题，见谅 golang-jwt 项目仓库 使用以下命令获取 go get github.com/golang-jwt/jwt 加密 首先声明一串用于加密解密的秘钥 .
Go语言使用jwt
weixin_44867420的博客
11-23 744
golang ,jwt ,token
Go语言使用JWT
weixin_46272577的博客
06-07 1172
Go语言使用JWT
使用JWT实现Golang后端鉴权的最佳实践
Java程序员_编程开发学习笔记_网站安全运维教程_渗透技术教程
07-21 840
本文介绍了在Golang中使用JWT实现管理员鉴权的最佳实践。通过Gin框架配合JWT，实现包括token生成、验证、中间件鉴权等核心功能。文章详细讲解了JWT三部分结构（Header、Payload、Signature）的工作原理，并提供了完整的配置示例和核心代码实现，包括生成Token、验证Token、Gin中间件等关键环节。同时强调了安全注意事项，如密钥长度、HTTPS传输、过期时间设置等。最后还给出了登录接口和受保护路由的使用示例，以及常见问题的解决方案。这套方案可为Gin应用提供可靠的身份验证层，
在Go IRIS中使用JWT
LittleFish's Blog
06-25 4928
文章目录在Go IRIS中使用JWT1. 跨域认证2. 关于JWT3. JWT 工作原理4. 在Iris中使用 JWT 在Go IRIS中使用JWT 1. 跨域认证 互联网服务离不开用户认证，一种认证方式是： 1、用户向服务器发送用户名和密码。 2、服务器验证通过后，在当前对话（session）里面保存相关数据，比如用户角色、登录时间等等。 3、服务器向用户返回一个 session_id，写入用户...
Go-jwthelper是一个Golang包提供了JWT(JSONWebToken)功能基于jwt-go.
08-14
通过阅读源码，你可以学习到JWT的实现细节，以及如何利用Go语言的特性来优化性能和提高代码可读性。同时，查看示例可以帮助快速上手，了解如何创建、解析和验证JWT。 总的来说，Go-jwthelper是一个强大且易用的工具...
JWT验证的原理，以及在项目中实现JWT的验证登陆
klay的博客
07-22 2776
因为之前实现的网关项目中存在以下的逻辑： 租户需要在平台进行登陆 租户在登陆之后获取到token之后才能通过网关的验证中间件进入到转发代理逻辑中 不选择session的原因 在这种登陆场景下，我们可以使用session来处理，session的处理流程如下： 租户发起登陆请求，把用户名和密钥发送给转发代理服务器，服务器利用后台数据库中的数据进行验证 后台服务器验证成功之后，利用服务器自己设置的租户session前缀+用户名+登陆时间这几个参数生成一个session并把session设置为Set-Cook
go jwt使用
Bug制造者
07-28 902
go jwt加密解密
Go JWT 全面指南
cmy_top的博客
03-07 2523
本文首先对 JWT 进行了概述，随后深入讲解了在 Go 语言下使用 JWT 的全过程。内容包括安装 Go 的 JWT 模块、创建 JWT 对象、生成 JWT 字符串以及解析 JWT 字符串的详细指南。
Go中使用JWT
寻找到底哪里有蓝天
04-20 335
原文链接：https://blog.csdn.net/m0_58121644/article/details/129643351 JWT (JSON Web Tokens) 是一种基于 JSON 格式的轻量级身份验证和授权方案。在 Go 项目中使用 JWT，一般需要完成以下步骤： 1. 安装 JWT 库 在 Go 项目中使用 JWT 需要先安装 JWT 库，可以使用以下命令安装： go ge...
在 Go 项目中使用 JWT
weixin_52906070的博客
09-06 449
它接受用户的 ID 和用户名作为参数，并返回一个签名的 JWT 字符串。需要注意的是，在实际应用中，需要更加严格地设置 JWT 的有效期、密钥等参数，以确保安全性。在实际应用中，应该使用更安全的方法来存储密钥，而不是硬编码在代码中。结构体：这是 JWT 中的声明，包括用户的 ID、用户名以及标准的 JWT 声明（如过期时间和签发者）。函数：这个函数用于验证 JWT。它接受一个 JWT 字符串作为参数，并返回 JWT 的声明（在 Go 项目中，可以使用 JWT 库的。函数来验证 JWT 的签名，并返回声明。
用go实现JWT
2201_75639894的博客
08-05 1981
JWT 最常见的场景就是授权认证，一旦用户登录，后续每个请求都将包含JWT，系统在每次处理用户请求的之前，都要先进行JWT安全校验，通过之后再进行处理。ISON Web Token，通过数字签名的方式，以JSON 对象为载体，在不同的服务终端之间安 全的传输信息。
【Golang学习之旅】使用 JWT 进行身份认证（Token 机制）
程序员林北北的博客
02-10 1861
是一种基于 JSON 格式的无状态认证机制，广泛应用于 RESTful API 的身份认证。它的基本思想是：服务器在用户登录成功后，生成一个Token（令牌），然后客户端在后续的请求中携带该 Token，服务器通过解析 Token 进行身份验证。无状态：服务器不需要存储 Token 状态，所有信息都包含在 Token 内部。跨平台：基于 JSON 格式，可以在任何支持 HTTP 的环境中使用。自包含：Token 本身包含了身份验证相关的信息，减少了数据库查询。
jwt-go的简单使用
look look
06-24 2125
JWT-GO的简单使用下载组成载荷，可以加一些自己需要的信息生成token解析tokenJWTAuth 中间件总结 下载 git clone https://github.com/dgrijalva/jwt-go 组成 Header 头部、Payload 载荷、Signature 签名， 用 . 连接 载荷，可以加一些自己需要的信息 type Claims struct { Name string `json:"name"` Phone string `json:"
利用Gin框架和JWT在Golang中实现身份验证
1. **Golang**：作为后端开发语言，Go语言的高并发和简洁语法是其主要特点。 2. **React**：JavaScript库，用于构建用户界面，与Gin框架结合，可以创建动态的前端交互。 3. **JavaScript**：前端开发的核心语言，与...
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值